أي حزمة يجب أن تطابقها سياسة VPN ثنائية WAN؟

تصف طلبات من نوع توجيه الـ VPN عبر الوصلة الصاعدة الثانية مهمتين مختلفتين على الأقل، والسياسة التي تصلح واحدة منهما لا تمس الأخرى. في المهمة الأولى ينتقل النقل المشفّر بين طرفين إلى عنوان WAN آخر. وفي الثانية يخرج تدفق التطبيق المفكوك التشفير لمستخدم متصل نحو قفزة تالية مختلفة. كلتاهما مشروعة، وكلتاهما تستخدم التوجيه، وكل واحدة منهما تحتاج مطابقة على حزمة موجودة عند نقطة اتخاذ القرار. اتبع الفحوص أدناه بالترتيب، لأن الفحص الأول يحدد أي حزمة يجب أن تسمّيها القواعد اللاحقة.

سمِّ المحادثتين

تخيّل عاملاً بعيداً متصلاً ببوابة مكتب، يفتح HTTPS إلى خادم تطبيق داخلي. هناك محادثتان مستقلتان على الشبكة، ولكل منهما عناوين مختلفة عند كل طرف. تجري المحادثة الخارجية بين طرفي الـ VPN: من عنوان البوابة إلى عنوان النظير، وبأي بروتوكول ومنفذ تفاوض عليه النشر. وتجري المحادثة الداخلية من العنوان المخصص للعميل إلى عنوان خادم التطبيق على المنفذ 443.

منفذ الوجهة في التطبيق ليس منفذ النقل في الـ VPN، ولا تستطيع أي كمية من السياسات على TCP 443 تحريك النفق. وبالمثل، فإن قاعدة تعيد توجيه عنوان نقل النظير لا تقول شيئاً عن وجهة طلب HTTP لذلك المستخدم بعد فك التشفير. اكتب المحادثتين بعناوينهما الحقيقية قبل لمس أي قاعدة، لأن معظم الالتباس في هذا المجال يأتي من تسمية إحداهما وتهيئة الأخرى.

اعرف أين تستطيع سياستك رؤية الحزمة فعلاً

يجب تقييم المطابقة في السلسلة وفضاء الأسماء حيث لا تزال الحزمة بالشكل الذي وصفته. القاعدة المرفقة بمدخل LAN ترى الحزمة الداخلية غير المشفّرة قبل توجيهها نحو النفق. القاعدة المطبقة على حركة المرور الناشئة محلياً ترى الحزم التي تولّدها البوابة نفسها، وهي لا تغطي تلقائياً حركة المرور التي تمرّرها البوابة فحسب. والمخرجات المغلّفة حالة ثالثة أخرى، تُعالج عادة على الواجهة التي تحمل النفق لا على جانب LAN.

لهذا يتصرف مقتطف التهيئة نفسه بشكل مختلف على منصتين: نقاط التثبيت تختلف، وقد تكون نقطة ربط سياسة البائع قبل خطوة التشفير أو بعدها. اقرأ مسار الحزمة للمنتج المحدد بدل افتراض الترتيب من رسم تخطيطي لبائع آخر.

تأكد من النقل الذي تفاوضت عليه

في حالة IPsec المغلّف بـ UDP، يضع RFC 3948 بروتوكول ESP داخل UDP ويستخدم علامة غير ESP لإبقاء IKE قابلاً للتمييز على المنفذ المشترك. بروتوكول ESP الصريح هو بروتوكول IP، وليس منفذ TCP أو UDP، لذا فإن قاعدة جدار حماية مكتوبة على رقم منفذ لن تطابقه إطلاقاً. هذا التمييز يحدد ما إذا كانت سياسة WAN لديك تحتاج قاعدة UDP أو قاعدة بروتوكول أو كليهما.

القيم المتفاوض عليها تتغلب على القيم المتذكّرة. اقرأ منافذ الرابطة وعناوينها الحالية من الجهاز بدل إضافة TCP 4500 أو منفذ بائع قديم تحسّباً، فهذا يلتقط حركة غير ذات صلة ويخفي مشكلة التصنيف الحقيقية.

افحص مسار العودة قبل الالتزام

نجاح الاتجاه الصادر يثبت نصف التصميم. الحزمة العائدة نحو مجمّع العملاء البعيدين لم تعد ظاهرة تحت عنوان العميل بمجرد أن يحل التغليف محله: الوجهة الخارجية هي عنوان نقل النظير. وإذا وصلت الوصلة الصاعدة الثانية إلى ذلك النظير عبر ناقل مختلف، فقد تختلف ترجمتها وفلترتها عن الأولى، وقد تحتاج الرابطة إلى إعادة بناء لا إلى ترحيل.

حالة ترجمة عناوين الشبكة هي الضحية المعتادة لتبديل WAN. سجّل الوصلة الصاعدة المختارة، وعنوان المصدر الخارجي المتوقع، والترجمة المستخدمة، ووصول النظير إليها، ثم أبقِ النقل قابلاً للوصول دون إرساله إلى النفق الذي يحمله.

تحقق من الطبقتين بعمليتي التقاط

التقاط واحد عند واجهة WAN وآخر داخل النفق يحسم السؤال أسرع من أي مقارنة تهيئة. شغّلهما من البوابة بينما ينفذ عميل معتمد طلباً واحداً، واحتفظ بالملفين.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

يجب أن يُظهر الالتقاط الأول المحادثة الخارجية وهي تغادر الواجهة التي قصدتها، بعنوان المصدر المتوقع. ويجب أن يُظهر الثاني المحادثة الداخلية مرة واحدة، غير مكررة، بعنوان العميل مصدراً وخادم التطبيق وجهة. ويؤكد بحث المسار الجدول الذي سيستخدمه الموجّه لذلك الزوج من المصدر والوجهة، وهو المكان الذي يظهر فيه خطأ السياسة عادة. وإذا لم يظهر أي من الالتقاطين، فنقطة القرار في مكان آخر غير الذي رُبطت به القاعدة، والإصلاح ينتمي إلى هناك لا إلى مطابقة أوسع.