VPN-in ayrılmış ünvanına əslində kim cavab verir?

Təşkilatın ayırmasında istifadəsiz qalan ünvan dinləyici deyil və onu güvənlik divarına əlavə etmək onu yaratmır. Həmin ünvanda IKE-ni nəyinsə sonlandırması lazımdır və mexanizm şlüzün ünvana sahib olmasından və ya yuxarı qurğunun onu tərcümə etməsindən asılı olaraq fərqlənir. İki halı fərqləndirən paket yoludur və hansı platforma xüsusiyyətinə ehtiyacınız olduğunu hər kəs dəyişiklik sorğusu açmazdan əvvəl bu müəyyən edir. Əvvəlcə yolu modelləşdirin, sonra seçin.

Ünvanın arxasındakı paket yolu

Peer IKE-ni ona verilmiş ünvana, UDP 500 üzərindən və ya NAT keçidi işə düşdükdə UDP 4500 üzərindən göndərir. Yolda həmin ünvana sahib olan hansı qurğu varsa, datagramı ya yerli olaraq qəbul edib cavablandırır, ya da başqa yerə yönləndirir. Bunlar yalnız iki ehtimaldır və bu məqalədəki hər şey hansının doğru olduğundan irəli gəlir.

Yerli qəbul o deməkdir ki, həmin qurğuda həmin ünvana bağlanmış soket mövcuddur. Yönləndirmə isə datagramın yenidən yazılaraq başqa son nöqtəyə göndərildiyini bildirir və soket sonra orada olur. UDP 500-ə icazə verən güvənlik divarı qaydası bunlardan hansının baş verdiyi barədə sizə heç nə demir.

Heç nəyə toxunmazdan əvvəl qeydi yazın: peer-lərin əlaqə saxladığı ünvan, yuxarı şəbəkənin onu necə çatdırdığı, onu qəbul edən yerli interfeys və ya məntiqi son nöqtə və IKE-yə cavab verən proses. Dörd sətir və hər biri yoxlana bilər. Onlardan biri naməlum olduqda, o naməlum sonraya qalan tətbiq detalları deyil, dizayn işidir. Dəyişiklik sorğusu təsdiqləndikdən sonra onları doldurmaq tərcümə qaydasının səhv qurğuya əlavə olunma üsuludur.

Model A: ünvana şlüz sahibdir

Birinci modeldə ünvana şlüzün özü sahibdir: ya mövcud interfeysdə ikinci ünvan kimi, ya ayrılmış interfeysdə ünvan kimi, ya da platformanın tunel son nöqtəsi kimi dəstəklədiyi loopback kimi. Bunlar üç fərqli xüsusiyyət və üç fərqli konfiqurasiya yoludur və birini dəstəkləyən platforma digərlərini dəstəkləməyə bilər.

Dizaynı ona əsaslandırmazdan əvvəl platformanın və buraxılışın məhz bu quruluşu dəstəklədiyini təsdiqləyin. Marşrutlaşdırılmış blok, interfeysdə əlavə ünvan və loopback son nöqtəsi bir-birini əvəz etmir və bir buraxılışın sənədləri növbətinin eyni cür davranacağını vəd etmir.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Dinləyən soket sübutdur. Ünvana heç nə bağlanmayıbsa, marşrut cədvəlinin nə dediyindən asılı olmayaraq şlüz sonlandırıcı deyil və paket tutumu datagramların gəldiyini, lakin onlara cavab verən olmadığını göstərəcək.

Topologiyanın başqa yerində artıq mövcud olan alt şəbəkəyə ikinci interfeys yerləşdirməyin və platformanın bunu həll edəcəyini güman etməyin. Üst-üstə düşən interfeys alt şəbəkələri qeyri-müəyyən mənbə seçimi və bir çox platformada ümumiyyətlə konfiqurasiyadan imtina yaradır.

Model B: yuxarı qurğu onu tərcümə edir

İkinci modeldə yuxarıda duran güvənlik divarı ayrılmış ünvana sahibdir və trafiki başqa VPN şlüzünə yönləndirir. Bu, qaytarma yolu olan təyinat tərcüməsidir və belə sənədləşdirildiyi müddətcə tamamilə etibarlı dizayndır.

Olmayan şey, yuxarı qurğunun yerli VPN soketi əldə etdiyinə dair sübutdur. Tərcümə paketləri yönləndirir; yuxarı qutunu IKE cavabdehinə çevirmir. Yuxarı qayda silinsə və ya onun qaytarma yolu pozulsa, şlüz sağlam və öz dinləyiciləri toxunulmaz olsa da VPN dayanır.

Hər iki ünvanı qeyd edin: peer-lərin əlaqə saxladığı ünvanı və şlüzün həqiqətən gördüyü ünvanı. Sonra nəqliyyatı və qaytarma yolunu qeyd edin, çünki UDP 500 üçün işləyən, lakin kapsullanmış ESP üçün işləməyən tərcümə qoşulacaq və sonra trafiki daşıya bilməyəcək; bu, sonradan ayıklanması çaşdırıcı olan nasazlıqdır.

Kimlik xarici ünvan deyil

IPsec tunel son nöqtəsini qoruduğu trafikdən ayırır və arxitektura bu qərarları müxtəlif yerlərdə saxlayır. Peer-lərin əlaqə saxladığı ünvanı dəyişmək hansı daxili prefikslərə icazə verildiyini, hansı marşrutların quraşdırıldığını və ya sessiyanın hansı resurslara çata biləcəyini avtomatik dəyişmir.

Doğrulanmış kimlik yenə ayrıdır. IKEv2 xarici paket ünvanına uyğun gəlməsi lazım olmayan kimlik yükü və autentifikasiya mübadiləsi daşıyır; tərcümə edilmiş dizaynın hələ də düzgün autentifikasiya edə bilməsinin səbəbi məhz budur.

Bu müstəqillik faydalıdır və eyni zamanda tələdir. Bir adi dinləyiciyə çevrilən iki DNS adı fərqli VPN arxa planlarını seçmir və bir kimliyi adlandıran sertifikat başqasını gözləyən peer-i qane etməyəcək. Yalnız ünvanın bunu həll etdiyini güman etməzdən əvvəl peer-in nəyi doğruladığını təsdiqləyin.

Dizaynı bir bağlantıya baxaraq qəbul edin

Yeni icazəli bağlantının həqiqətən hara çatdırıldığını, hansı kimliyin cavab verdiyini və sonra hansı özəl axına icazə verildiyini yoxlayın. Üç müşahidə, üç fərqli qat və ünvanın uğurlu açıq axtarışı bunlardan heç birini sınamır.

Mənfi halı da saxlayın: qəbul edilməməli olan peer və ya çatılmamalı olan daxili prefiks dəyişiklikdən sonra yoxlanılır. Başlanğıcda yazdığınız qeyd dizaynı yaddaşdan yenidən qurmadan bu sınağı mümkün edən şeydir.

Bütün bunların məqsədi şəbəkə sahibinə hər güvənlik divarının əlavə ünvanla nə edə biləcəyi barədə ümumi iddiaya güvənmək əvəzinə dəstəklənən ayırma üsulunu seçməyə imkan verməkdir. Bu iddia məhz bu dizaynların səhv getdiyi yerdir, çünki hər platformada inandırıcı səslənir və ümumilikdə heç birində doğru deyil. Dörd sətirlik qeyd bunu sizin platformanız üçün on dəqiqədə həll edir.