L2TP, GRE və ya IPsec: sessiyanı hansı qat daşımalıdır?

Hər dəfə L2TP, GRE və IPsec eyni dizayn qeydində yer alanda iki sual bir-birinə qarışır: hansı sessiyanı daşıyıram və onu hansı qat qoruyur? Birincini səhv etsəniz, aşağıdakı hər şey daxildən ardıcıl qalır, amma səhv problemi həll edir — istifadəçilərin daxil olması lazım olan yerdə marşrutlaşdırılmış overlay qurulur və ya saytlararası şlüzün yerinə dial-in konsentratoru qoyulur. Aşağıdakı iş vərəqi bu fərqi kimsə cihaza giriş etməzdən əvvəl məcburi şəkildə ortaya qoyur. Onu sıra ilə doldurun və hər sətir öz-özlüyündə yoxlana bilən bir şeyə çevrilsin.

Sessiyadan başlayın, protokol siyahısından yox

PPP sessiyası saxlayan uzaq istifadəçi ilə iki şlüz arasındakı marşrutlaşdırılmış overlay fərqli şəbəkə münasibətləridir, hətta hər ikisi sonda IPsec-ə bükülsə də. Birincisi hər istifadəçi üçün linki sonlandırır və ünvan təyini, şəxsin və ya cihazın autentifikasiyası, həmçinin həmin istifadəçinin hansı daxili şəbəkələrə çıxa biləcəyini göstərən siyasət tələb edir. İkincisi heç kimin daxil olmadığı saytlar arasında paketləri ötürür.

Qurduğunuz iki variantdan hansının olduğunu bir cümlə ilə yazın, sonra onu işlədəcək adam kimi yenidən oxuyun. Əgər cümləyə «və» sözü lazımdırsa, siz ikisini də qurursunuz və iş vərəqinə hər ikisinə yarım-xidmət edən bir güzəşt sütunu əvəzinə iki sütun lazımdır. Əgər cümlədə istifadəçi var, amma ünvan hovuzu yoxdur, ya da prefiks var, amma yönləndirmə siyasəti yoxdur, cümlə hələ də natamamdır. İfadə bürokratik səslənir, lakin başqa cür yalnız dəstək masası bileti ilə aşkar olunacaq dizaynı tutmaq üçün ən ucuz yerdir.

Hər qata dəqiq bir vəzifə verin

L2TPv2 iki son nöqtəsi arasında PPP sessiyalarını daşıyır. PPP link danışıqlarını və, danışıqlar aparıldıqda, istifadəçi autentifikasiyasını idarə edir; L2TP heç bir kriptoqrafiya əlavə etmir, buna görə də tək L2TP demonu IPsec təhlükəsizlik münasibətinin heç bir hissəsini həyata keçirmir və yalnız artıq etibar etdiyiniz linkin daxilində yer alır.

GRE iki ünvan arasında inkapsulyasiyadır. O, şəbəkə qatı paketlərini məntiqi overlay üzərindən daşıyır və təkbaşına nə məxfilik, nə də autentifikasiya olunmuş peer kimliyi təqdim etmir. Bu qüsur deyil: başlıq sadə dizayn edilib ki, yönləndirmə aparatında emalı ucuz qalsın. Nəticə budur ki, GRE «bu paketi iki ünvan arasında necə aparım» sualına cavab verir və başqa heç nəyə, halbuki ona verməli olduğunuz sual məhz budur.

Bunun ardınca IPsec trafiki seçən, peer-ləri autentifikasiya edən və nəyi qorumaq deyilibsə onu şifrələyən qat kimi qalır. Onun hansı trafiki qoruduğu, son nöqtələrin faktiki yaratdığı inkapsulyasiyaya uyğun olmalı konfiqurasiya qərarıdır, çünki GRE xarici ünvanı üçün yazılmış siyasət daxili prefikslər üçün yazılmışdan fərqli davranır. GRE spesifikasiyası yükü, GRE başlığını və xarici çatdırılma protokolunu görünən şəkildə ayırır və siyasətinizə də eyni ayrılıq lazımdır.

Konfiqurasiyadan əvvəl paket yolunu yazın

Bir paket götürüb əlavə olunan hər başlığı əlavə olunma sırası ilə sadalayın və onu hansı cihazın əlavə etdiyini göstərin. Dial-in istifadəçi üçün bu adətən IPsec daxilində L2TP, onun da daxilində PPP-dir; sayt overlay-i üçün isə IPsec daxilində GRE, onun da daxilində daxili IP paketidir. İki cihaz eyni başlığı əlavə edirsə, dövrə və ya təkrarlanmış tuneliniz var və heç bir siyasət düzəlişi bunu düzəltməyəcək.

Eyni siyahı MTU-nu da həll edir, çünki istifadə oluna bilən daxili ölçü ölçülmüş yol MTU-sundan yalnız sadaladığınız başlıqlar çıxılmaqla qalandır. Forum yazısından rəqəm köçürməyin: xarici IP, UDP və ESP yükünü, sonra GRE və ya L2TP-ni, sonra tətbiq olunduğu yerdə PPP-ni toplayın və faktiki ölçdüyünüz yol MTU-sundan çıxın. Yalnız böyük ötürmələrdə görünən simptomlar və ya qurulub ilk böyük cavabda ölən sessiyalar adətən bu toplamanın təxminlə edilməsindən qaynaqlanır.

Hər qatı ayrıca, xaricdən içəriyə doğru yoxlayın

Yoxlamaları sıra ilə aparın və ilk uğursuz olanında dayanın. Hər sətir fərqli suala cavab verir, ona görə də uğursuzluq tunelin xarab olduğunu demək əvəzinə iş vərəqinin bir sütununu göstərir.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Cisco cihazında ekvivalent rol üzrə dəyişir və dəqiq sintaksis platformadan və buraxılışdan asılıdır: show crypto session IPsec peer-ləri üçün, GRE və ya tunel interfeysi üçün interfeys sayğacları, dial-in rolu üçün isə VPDN və ya PPP yoxlaması. PPP-ni sonlandıran əmr dəsti GRE dəstəyi haqqında heç nə sübut etmir, işləyən GRE interfeysi də PPP xidməti haqqında heç nə sübut etmir, ona görə də diaqramdakı rolu deyil, faktiki konfiqurasiya etdiyiniz rolu yoxlayın.

Hər çıxışı aid olduğu iş vərəqi sətrinin yanında qeyd edin. Nasazlıq davam edərkən götürülən qeydlər sonradan yaddaşdan yenidən çəkilən topologiyadan daha dəyərlidir.

Sökmə sırasını müəyyən edin, sonra yenidən yoxlayın

Sökmə səbəbə görə tərs qaydada aparılır: qorunan trafiki IPsec siyasətindən çıxarın, onun üçün yazılmış inkapsulyasiyanı silməzdən əvvəl, yoxsa siyasət artıq mövcud olmayan interfeysi göstərməyə davam edir və növbəti konfiqurasiya yüklənməsi əlaqəsiz görünən yerdə uğursuz olur. Linux-da bu, state və siyasət qeydlərini tunel interfeysindən əvvəl silmək deməkdir; marşrutlaşdırıcıda isə crypto map və ya profil qeydini tuneldən əvvəl çıxarmaq.

Yenidən qurduqdan sonra dörd qəbul müşahidəsini bir-bir təkrarlayın: xarici əlçatanlıq, qurulmuş IPsec assosiasiyası, dizayn daxil edirsə qurulmuş PPP sessiyası və real təyinat ünvanına daxili yönləndirmə. Bir yaşıl işıq digər üçü üçün sübut deyil və məhz bu boşluq istehsalatda ən uzun yaşayan nasazlıqdır — tunel qalxır, şifrələnir və heç nə ötürmür, çünki daxili marşrut heç vaxt əlavə edilməyib.

Doldurulmuş iş vərəqini cihaz konfiqurasiyasının yanında saxlayın. Doldura bilmədiyiniz istənilən sütun təyin edilmiş vəzifəsi olmayan qatdır və təyin edilmiş vəzifəsi olmayan qat adətən stekdə olmamalı olan qatdır.