Saytlararası VPN üçün nə qeyd etmək lazımdır: seçicilər və əhatə dairəsi

Tunel işə salındıqdan altı ay sonra yeni alt şəbəkə siyasətə uyğun gəlməyi dayandırır və paylaşımda olan yeganə sənəd ofis VPN-i yazır. Bu, seçici qeydinin qarşısını aldığı nasazlıqdır və konkretdir: ünvanlar dəsti dəyişdi, sənədlər isə dəyişmədi. Qeydi düzgün yazmaq bir neçə ünvan dəstindən hansını təsvir etdiyinizi bilmək və konfiqurasiya etdiyinizi deyil, həmyaşıdın həqiqətən tətbiq etdiyini qeyd etmək deməkdir.

Konfiqurasiya edilmiş, razılaşdırılmış deyil

Siyasət əsaslı IPsec tunelində hər tərəf trafik seçicilərini təklif edir: uşaq assosiasiyası üçün mənbə və təyinat diapazonları. Cavab verən tərəfin bu təklifi daraltmaq hüququ var , buna görə quraşdırılmış assosiasiya konfiqurasiyanın sadaladığından azını əhatə edə bilər. Konfiqurasiyanı köçürən qeyd buna görə niyyəti təsvir edir, cari mühafizə əhatəsini deyil. İkisi səssizcə ayrılır və tunel statusu səhifəsində heç nə buna işarə etmir.

Hər iki sütunu, müşahidə etdiyiniz tarixlə birlikdə saxlayın. Konfiqurasiya edilmiş seçici nəzərdə tutduğunuzdur; razılaşdırılmış olan isə kernelin hazırda tətbiq etdiyidir. Onlar fərqləndikdə, bu fərq gözlənilməz nasazlığı marşrutlaşdırma xətasından qat-qat çox izah edir.

Bir assosiasiya həm də hər konfiqurasiya edilmiş cütü təmsil etmir. Bir neçə seçici kombinasiyası olan tunel bir neçə uşaq assosiasiyası ilə nəticələnə bilər və onlardan birini sadalayan qeyd qismən inventardır. Onları ümumiləşdirmək əvəzinə sadalayın.

Marşrut əsaslı tunellər fərqli seçir

Marşrut əsaslı interfeysdə tunelə nəyin girəcəyinə marşrut cədvəli qərar verir və seçicilər qəsdən geniş ola bilər. Bu, səhlənkarlıq deyil, qanuni dizayndır və qeyd bunu belə təsvir etməlidir. Marşrutu, onun göstərdiyi interfeysi və hansı xidmətlərin əlçatan olduğunu məhdudlaşdıran firewall siyasətini yazın. Mühafizə əhatəsi qəsdən genişdir və daraltmanı xidmət əhatəsi edir.

Siyasət əsaslı şablonu marşrut əsaslı tunelə köçürmək, yerləşdirmənin istifadə etmədiyi mexanizmi təsvir edən sənəd yaradır. Sonra növbəti mühəndis heç vaxt orada olmaq üçün nəzərdə tutulmamış seçicilər axtarır və tunel yalnız pis sənədləşdirildiyi halda onu səhv konfiqurasiya edilmiş hesab edir.

Tərcümə eyni cədvələ aiddir

NAT həmyaşıda fərqli diapazon təqdim etdikdə, orijinal və tərcümə edilmiş prefiksləri birlikdə qeyd edin. Seçicilərin və giriş qaydalarının onlara hansı mərhələdə uyğunlaşdığını qeyd edin, çünki sıra uzaq tərəfin yazdığınız ünvanı heç görüb-görməyəcəyini həll edir. İki diapazondan yalnız birini ehtiva edən cədvəl heç bir cədvəldən pisdir, çünki tam görünür.

Bu, NAT dəyişikliyindən sonra işləyən tuneli sındıran detaldır: seçici hələ də orijinal prefiksə uyğun gəlir, həmyaşıd artıq tərcümə edilmişini alır və onun qayıdış marşrutu artıq mövcud olmayan ünvana işarə edir. İkisi razılaşmağı dayandırdığı anda heç nə xəta qeyd etmir.

Şəxsi DNS də eyni yerə aiddir. Müvafiq saytdan istifadə edilə bilməyən ünvana həll olunan ad, dəstək bileti ilə birlikdə sənədləşdirmə xətasıdır və buna görə tunel günahlandırılacaq.

Xidmət tələbini əlavə edin

Qorunan diapazon icazə siyahısı deyil. Hansı xidmətlərin hansı mənbədən əlçatan olmalı olduğunu və onların arxasındakı tətbiqin kimə aid olduğunu yazın. Bu iki sahə fərqli suallara cavab verir və onları qarışdırmaq təhlükəsizlik yoxlamasının giriş yerinə marşrutlaşdırma haqqında mübahisə etməsi ilə nəticələnir.

Sonra qaydanı saxlayan şəbəkə administratorunun adını yazın. Sahibsiz seçici inventarı səssizcə köhnəlir və tunel gecə iki radələrində sındıqda köhnə ilə səhv fərqlənmir. Sahib həm də dəyişikliyin qəsdən olduğunu təsdiqləyə bilən şəxsdir.

Qeydi test planına çevirin

Hər tələb olunan yol üçün təmsilçi mənbə və təyinat hostu seçin və gözlənilən marşrutu, xidməti və cavab şlüzünü qeyd edin. Bu, sənədi təsvir yerinə test planına çevirir. Canlı assosiasiyanı aşağıdakı əmrlə oxuyun və yazdığınız razılaşdırılmış sətirlə müqayisə edin.

swanctl --list-sas

Beş sətirlik skelet adətən qeydi dürüst saxlamaq üçün kifayətdir. Aşağıdakı versiya kəsilmədən dəyişiklik biletinə sığır:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Yalnız şlüzə ping atmaq qəbul testi deyil. O, tranzit yolunu heç vaxt işlətmır, buna görə hər yönləndirilən axın uğursuz olduğu halda o keçə bilər. Bir tərəfdəki hostdan digər tərəfdəki xidmətə test edin və cavabın tuneldən gəldiyini təsdiqləyin. Yalnız ping keçirsə, qeyd məhz qarşısını almaq üçün yazıldığı yönləndirmə problemini tapmışdır. strongSwan yönləndirmə sənədləri seçicilərin, marşrutların və yönləndirmənin Linux həmyaşıdında necə qarşılıqlı işlədiyini izah edir.