شبكة واحدة أم شبكتان؟ اختيار تخطيط واجهات خادم VPN

محول فيزيائي واحد يكفي لكثير من خوادم VPN، وهو ليس تصميماً عالمياً أيضاً. يصل الاتصال المشفر إلى ذلك المحول، وتفك تشفيره عملية VPN، ثم تخرج الحركة الداخلية عبر واجهة افتراضية قبل أن تصل إلى خدمة محلية أو شبكة محلية موجهة. يعتمد نجاح ذلك على ثلاثة شروط: أين تقع الوجهة، وهل لدى الشبكة المحلية مسار عودة إلى مجموعة العملاء، وهل يمنحك رابط فيزيائي مشترك واحد العزل الذي تدعيه. أجب عن هذه الثلاثة وسيتبع عدد المحولات.

الشروط الثلاثة التي تحسم الأمر

الشرط الأول هو الوجهة. تُبلَغ الخدمة على مضيف VPN نفسه عبر واجهة النفق وحدها، بينما يتطلب مضيف على الشبكة المحلية إعادة توجيه ومسار عودة. الشرط الثاني هو مسار العودة ذاك، لأن جهاز الشبكة المحلية يجب أن يعرف كيف يبلغ مجموعة العملاء، إما بمسار أو بترجمة عند الخادم.

الشرط الثالث هو الفصل. محول واحد يعني أن كل حزمة، مشفرة أو لا، تتشارك رابطاً وسلسلة سياسات عادة، لذا فإن ادعاء العزل الذي يعتمد على عتاد منفصل لا تحققه واجهة واحدة. هذه حقيقة عن المسار، لا عن طريقة إعداد نظام التشغيل. يمكنك مع ذلك تصفية حركة النفق، لكنك لا تستطيع ادعاء حد لا تملكه.

لا يتعلق أي من الثلاثة بعدد المنافذ على الهيكل. إنها تتعلق بالتوجيه وملكية العناوين ومدى اعتماد التصميم على الفصل الفيزيائي.

يبقى المحولان خياراً مشروعاً عندما تبررهما مناطق فيزيائية أو روابط صاعدة منفصلة أو إنتاجية أو مسار استعادة خارج النطاق. هذه متطلبات ملموسة، ويستحق ذكرها قبل أن يطلب أحد العتاد.

عندما تعمل الخدمة على مضيف VPN

أبسط حالة لا تحتاج إلى إعادة توجيه إطلاقاً. يستقبل البرنامج الخفي حزم العميل على واجهة النفق ويسلمها إلى مقبس محلي، ويعود الرد عبر الواجهة نفسها. عنوان مجموعة العملاء عنوان محلي حقيقي بقدر ما يخص المضيف.

يبقى أمران يجب أن يكونا صحيحين: يجب أن تستمع الخدمة على عنوان يمكن للنفق بلوغه، ويجب أن تقبل جدار حماية المضيف الحركة الواردة على واجهة النفق. كلاهما ظاهر في الأوامر أدناه.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

ربط خدمة بالعنوان العام وحده، أو تصفية واجهة النفق بالخطأ، ينتج اتصالاً يبلغ المضيف ثم يموت. يبدو ذلك كعطل في VPN وهو عادة قرار مقبس أو جدار حماية.

عندما تقع الوجهة على الشبكة المحلية

هنا يكتسب تصميم المحول الواحد سمعته في كونه عسيراً. على الخادم أن يعيد توجيه حزم العميل نحو الشبكة المحلية، وعلى جهاز الشبكة المحلية أن يرسل الردود إلى مجموعة العملاء. إما أن تحمل تلك المجموعة كمسار على الشبكة المحلية، أو تترجم عنوان المصدر عند الخادم لتعود الردود إلى الخادم نفسه.

كلا الجوابين مشروع ويفشل كل منهما بطريقة مختلفة. مسار العودة يُبقي عنوان العميل الأصلي مرئياً للوجهة، وهذا جيد للسجلات وسيئ لقواعد جدار الحماية التي تفترض عناوين الشبكة المحلية. الترجمة تُبقي الشبكة المحلية بسيطة وتخفي هوية العميل عن الوجهة.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

المسار غير المتماثل هو العَرَض الكلاسيكي: يصل طلب العميل، ويغادر الرد عبر موجه مختلف، وينتهي الاتصال بمهلة دون خطأ على أي من الطرفين. التقط على الجانبين قبل أن تستنتج أي شيء عن النفق.

لماذا لا ينشئ الاسم البديل منطقة ثانية

إضافة عنوان ثانٍ إلى المحول نفسه، أو إنشاء واجهة وهمية لتحاكي منفذاً ثانياً، لا يغير إلا القليل. لا تزال الحزم تخرج عبر الرابط الفيزيائي نفسه ومنفذ المبدل نفسه وعادة سلسلة جدار الحماية نفسها، فلا يوجد حد جديد بينهما. إنها راحة إعداد، لا تقسيم. والتعامل معها كحد منطقة هو ما يبقي ادعاء العزل على الورق فقط.

تحتاج المنطقة المنفصلة إلى فصل حقيقي في المسار، وهذا هو الشرط الذي يحققه محول ثانٍ. إذا كانت قاعدة تعتمد على ألا تتشارك حركة مواجهة VPN نطاق بث مع حركة مواجهة الشبكة المحلية، فلا يمكن لكابل واحد أن يوفر تلك الخاصية مهما كانت عنونة المضيف.

حيثما توثق منتجات طوبولوجيا متعددة الواجهات لوضع معين، اتبع توثيق ذلك المنتج بدل اختراع حل بديل. كما يغير الموردون طوبولوجياتهم المدعومة بين الإصدارات، وهذا سبب آخر لقراءة الدليل الحالي بدل لقطة شاشة قديمة لمعالج.

اختبر التخطيط مقابل الحركة التي تسمح بها

اسرد فئات الحركة التي يتوقع أن يحملها الخادم: العميل إلى المضيف، والعميل إلى الشبكة المحلية، والمضيف إلى الشبكة المحلية، والاتصال الخارجي المشفر. لكل فئة مصدر ووجهة وواجهة، وعلى التخطيط أن يفي بالأربع دفعة واحدة. التصميم الذي يتعامل مع ثلاث منها هو عادة الذي يولد التذاكر.

ثم أكد الواجهات الفعلية والتقاط الفعلي، لا المخطط في وثيقة التصميم. تطبع الأوامر أدناه العرضين.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

إذا أظهر الالتقاط الخارجي الحركة المشفرة وأظهر الالتقاط الداخلي الحركة المفكوكة على واجهة النفق بينما يحمل المحول الفيزيائي كليهما، فإن بطاقة شبكة واحدة تؤدي المهمة. وإذا كان الالتقاط الداخلي فارغاً، فالمشكلة في النفق أو قواعد إعادة التوجيه، لا في عدد المحولات. احسم الطوبولوجيا من هذين الالتقاطين وجدول التوجيه، وسيكون للتغيير التالي ما يقاس عليه.