İkili WAN VPN siyasəti hansı paketlə uyğunlaşmalıdır?

VPN-i ikinci uplink üzərindən yönləndir kimi tələblər ən azı iki fərqli işi təsvir edir və birini düzəldən siyasət digərinə toxunmur. Birinci işdə iki son nöqtə arasındakı şifrələnmiş nəqliyyat başqa WAN ünvanına keçir. İkincidə isə qoşulmuş istifadəçinin şifrəsi açılmış tətbiq axını fərqli növbəti hopa doğru çıxır. Hər ikisi qanunidir, hər ikisi marşrutlaşdırmadan istifadə edir və hər biri qərar verilən nöqtədə mövcud olan paket üzrə uyğunluq tələb edir. Aşağıdakı yoxlamaları ardıcıllıqla keçin, çünki birinci yoxlama sonrakı qaydaların hansı paketi adlandırmalı olduğunu müəyyən edir.

İki söhbəti adlandırın

Təsəvvür edin ki, ofis şlüzuna qoşulmuş uzaq işçi daxili tətbiq serverinə HTTPS açır. Şəbəkədə iki müstəqil söhbət var və onların hər iki ucunda fərqli ünvanlar mövcuddur. Xarici söhbət iki VPN son nöqtəsi arasında gedir: şlüz ünvanından peer ünvanına, yerləşdirmənin razılaşdırdığı protokol və portla. Daxili söhbət isə müştəriyə verilmiş ünvandan tətbiq serverinin 443 portundakı ünvanına gedir.

Tətbiqin təyinat portu VPN-in nəqliyyat portu deyil və TCP 443 üzrə heç bir siyasət miqdarı tuneli yerindən tərpətməz. Eyni şəkildə, peer-in nəqliyyat ünvanını yönləndirən qayda həmin istifadəçinin HTTP sorğusunun şifrə açıldıqdan sonra hara getdiyi barədə heç nə demir. Qaydaya toxunmazdan əvvəl hər iki söhbəti real ünvanları ilə yazın, çünki bu sahədə qarışıqlığın çoxu birini adlandırıb digərini konfiqurasiya etməkdən gəlir.

Siyasətinizin paketi həqiqətən harada gördüyünü tapın

Uyğunluq paketin hələ təsvir etdiyiniz formada olduğu zəncirdə və adlar fəzasında qiymətləndirilməlidir. LAN girişinə bağlanmış qayda daxili paketi şifrələnməmiş halda, tunelə doğru yönləndirilməzdən əvvəl görür. Yerli olaraq yaradılan trafikə tətbiq edilən qayda şlüzün özünün yaratdığı paketləri görür, və şlüzün sadəcə yönləndirdiyi trafiki avtomatik əhatə etmir. Kapsullaşdırılmış çıxış yenə üçüncü haldır və adətən LAN tərəfində deyil, tuneli daşıyan interfeysdə idarə olunur.

Buna görə eyni konfiqurasiya parçası iki platformada fərqli davranır: qoşulma nöqtələri fərqlidir və satıcının siyasət qarmağı şifrələmə addımından əvvəl və ya sonra ola bilər. Başqa satıcının diaqramından sıranı fərz etmək əvəzinə konkret məhsul üçün paket yolunu oxuyun.

Razılaşdırdığınız nəqliyyatı təsdiqləyin

UDP ilə kapsullaşdırılmış IPsec üçün RFC 3948 ESP-ni UDP-nin içərisinə qoyur və paylaşılan portda IKE-ni fərqləndirilə bilən saxlamaq üçün qeyri-ESP markerindən istifadə edir. Adi ESP IP protokoludur, TCP və ya UDP portu deyil, ona görə də port nömrəsinə görə yazılmış firewall qaydası ona heç uyğun gəlməyəcək. Bu fərq WAN siyasətinizin UDP qaydasına, protokol qaydasına, yoxsa hər ikisinə ehtiyacı olduğunu müəyyən edir.

Razılaşdırılmış dəyərlər yadda saxlananlardan üstündür. Birləşmənin cari portlarını və ünvanlarını cihazdan oxuyun, ehtiyat üçün TCP 4500 və ya köhnə satıcı portu əlavə etməyin, çünki bu, əlaqəsiz trafiki tutur və əsl təsnifat problemini gizlədir.

Öhdəlik götürməzdən əvvəl qayıdış yolunu yoxlayın

Gedən istiqamətdə uğur dizaynın yarısını sübut edir. Uzaq müştəri hovuzuna qayıdan paket, kapsullaşdırma onu əvəz etdikdən sonra artıq müştərinin ünvanı altında görünmür: xarici təyinat peer-in nəqliyyat ünvanıdır. Əgər ikinci uplink həmin peer-ə başqa daşıyıcı vasitəsilə çatırsa, onun tərcüməsi və filtrləməsi birincidən fərqlənə bilər və birləşmə miqrasiya əvəzinə yenidən qurulmalı ola bilər.

Şəbəkə ünvanı tərcüməsi vəziyyəti WAN keçidinin adi qurbanıdır. Seçilmiş uplink-i, gözlənilən xarici mənbə ünvanını, istifadə olunan tərcüməni və peer-in ora geri çatımlılığını qeyd edin, sonra nəqliyyatı daşıdığı tunelə göndərmədən əlçatan saxlayın.

Hər iki təbəqəni iki tutma ilə yoxlayın

WAN interfeysində bir tutma və tunelin içində bir tutma məsələni istənilən konfiqurasiya fərqindən tez həll edir. Onları şlüzdən işə salın, təsdiqlənmiş müştəri tək bir sorğu yerinə yetirsin və hər iki faylı saxlayın.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Birinci tutma xarici söhbətin nəzərdə tutduğunuz interfeysi gözlənilən mənbə ünvanı ilə tərk etdiyini göstərməlidir. İkinci daxili söhbəti bir dəfə, təkrarlanmadan, müştəri ünvanı mənbə və tətbiq serveri təyinat olmaqla göstərməlidir. Marşrut axtarışı routerin həmin mənbə-təyinat cütü üçün hansı cədvəldən istifadə edəcəyini təsdiqləyir və siyasət səhvi adətən məhz orada görünür. Əgər tutmalardan biri görünmürsə, qərar nöqtəsi qaydanın bağlandığı yerdən başqa bir yerdədir və düzəliş daha geniş uyğunluğa deyil, oraya aiddir.