من يستجيب فعليًا على عنوان VPN المخصص؟

العنوان الذي يبقى غير مستخدم في تخصيص المؤسسة ليس مستمعًا، وإضافته إلى جدار حماية لا تنشئ واحدًا. لا بد من شيء ينهي IKE على ذلك العنوان، وتختلف الآلية بحسب ما إذا كانت البوابة تملك العنوان أم يترجمه جهاز في المنبع. مسار الحزمة هو ما يميز الاثنين، وهو يحدد ميزة المنصة التي تحتاجها قبل أن يفتح أحد طلب تغيير. صمّم المسار أولًا، ثم اختر.

مسار الحزمة خلف العنوان

يرسل النظير IKE إلى العنوان الذي أُعطي له، على UDP 500 أو على UDP 4500 عندما يكون اجتياز NAT مطروحًا. وأي جهاز يملك ذلك العنوان على المسار إما يستقبل الحزمة محليًا ويجيب عليها، وإما يعيد توجيهها إلى مكان آخر. هذان هما الاحتمالان الوحيدان، وكل ما تبقى في هذا المقال يتبع من أي منهما صحيح.

الاستقبال محليًا يعني وجود مقبس على ذلك الجهاز مرتبط بذلك العنوان. أما إعادة التوجيه فتعني أن الحزمة تُعاد كتابتها وتُرسل إلى نقطة نهاية أخرى، وهي التي تملك المقبس بعد ذلك. قاعدة جدار حماية تسمح بـ UDP 500 لا تخبرك بشيء عن أي الاحتمالين يحدث.

اكتب السجل قبل أن تلمس أي شيء: العنوان الذي يتصل به النظراء، وكيف يوصله شبكة المنبع، والواجهة المحلية أو نقطة النهاية المنطقية التي تستقبله، والعملية التي تجيب على IKE. أربعة أسطر، وكل واحد منها قابل للتحقق. وعندما يكون أحدها مجهولًا، فذلك المجهول هو عمل التصميم لا تفصيل تنفيذي يُحسم لاحقًا. وتعبئتها بعد الموافقة على طلب التغيير هي الطريقة التي تُضاف بها قاعدة ترجمة إلى الجهاز الخطأ.

النموذج A: البوابة تملك العنوان

في النموذج الأول تحمل البوابة العنوان بنفسها، إما كعنوان ثانوي على واجهة قائمة، أو كعنوان على واجهة مخصصة، أو كواجهة loopback تدعمها المنصة كنقطة نهاية نفق. هذه ثلاث ميزات مختلفة بثلاثة مسارات تهيئة مختلفة، والمنصة التي تدعم واحدة قد لا تدعم الأخريين.

تحقق من أن المنصة والإصدار يدعمان هذا الترتيب بالتحديد قبل أن تبني تصميمك عليه. فكتلة موجَّهة، وعنوان إضافي على واجهة، ونقطة نهاية loopback ليست قابلة للتبادل، ووثائق إصدار واحد لا تعد بأن الإصدار التالي سيتصرف بالطريقة نفسها.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

المقبس المستمع هو الدليل. فإذا لم يكن هناك شيء مرتبط بالعنوان، فالبوابة ليست المنهي بغض النظر عما يقوله جدول التوجيه، وسيُظهر التقاط الحزم أن الحزم تصل دون شيء يجيب عليها.

لا تضع واجهة ثانية في شبكة فرعية موجودة بالفعل في مكان آخر من الطوبولوجيا وتفترض أن المنصة ستتدبر الأمر. فالشبكات الفرعية المتداخلة للواجهات تنتج اختيارًا ملتبسًا للمصدر، وفي كثير من المنصات رفضًا للتهيئة أصلًا.

النموذج B: جهاز في المنبع يترجمه

في النموذج الثاني يحمل جدار حماية في المنبع العنوان المخصص ويعيد توجيه حركة المرور إلى بوابة VPN مختلفة. هذا ترجمة وجهة مع مسار عودة، وهو تصميم سليم تمامًا ما دام موثقًا على هذا النحو.

ما ليس عليه هو دليل على أن جهاز المنبع حصل على مقبس VPN محلي. فالترجمة تعيد توجيه الحزم؛ وهي لا تجعل صندوق المنبع مستجيب IKE. وإذا أُزيلت قاعدة المنبع أو انقطع مسار عودتها، يتوقف VPN حتى لو كانت البوابة سليمة ومستمعوها أنفسهم سليمون.

سجّل العنوانين: العنوان الذي يتصل به النظراء والعنوان الذي تراه البوابة فعلًا. ثم سجّل النقل ومسار العودة، لأن ترجمة تعمل مع UDP 500 لكن ليس مع ESP المُغلَّف ستتصل ثم تفشل في حمل الحركة، وهو فشل محيّر عند تصحيحه لاحقًا.

الهوية ليست العنوان الخارجي

يفصل IPsec نقطة نهاية النفق عن الحركة التي يحميها، ويُبقي تصميم البنية هذه القرارات في أماكن مختلفة. وتغيير العنوان الذي يتصل به النظراء لا يغيّر تلقائيًا البادئات الداخلية المسموح بها، ولا المسارات المثبتة، ولا الموارد التي قد تصلها الجلسة.

الهوية المُصادَق عليها منفصلة مرة أخرى. يحمل IKEv2 حِمل هوية وتبادل مصادقة لا يلزم أن يطابق عنوان الحزمة الخارجي، ولهذا بالتحديد يمكن لتصميم مترجم أن يصادق بشكل صحيح.

ذلك الاستقلال مفيد وفخّ في الوقت نفسه. اسمان DNS يُحلّان إلى مستمع عادي واحد لا يختاران خلفيات VPN مختلفة، وشهادة تسمّي هوية واحدة لن تُرضي نظيرًا يتوقع أخرى. تحقق مما يتحقق منه النظير قبل أن تفترض أن العنوان وحده يقرر ذلك.

اقبل التصميم بمشاهدة اتصال واحد

افحص أين يُسلّم اتصال مخوّل جديد فعليًا، وأي هوية تجيب، وأي تدفق خاص يُسمح به بعد ذلك. ثلاث ملاحظات في ثلاث طبقات مختلفة، والبحث العلني الناجح عن العنوان لا يختبر أيا منها.

احتفظ بالحالة السلبية أيضًا: نظير لا ينبغي قبوله، أو بادئة داخلية لا ينبغي أن تكون قابلة للوصول، تُجرَّب بعد التغيير. فالسجل الذي كتبته في البداية هو ما يجعل ذلك الاختبار ممكنًا دون إعادة بناء التصميم من الذاكرة.

الغاية من كل هذا أن يتيح لمالك الشبكة اختيار طريقة تخصيص مدعومة بدلًا من الاتكال على ادعاء عام بشأن ما يمكن لكل جدار حماية فعله بعنوان إضافي. وذلك الادعاء هو بالضبط موضع خطأ هذه التصاميم، لأنه يبدو معقولًا على كل منصة وصحيحًا على أي منها في العموم. وسجل الأسطر الأربعة يحسم الأمر لمنصتك في عشر دقائق.