Ko zapravo odgovara na namjensku adresu VPN-a?

Adresa koja stoji neiskorištena u dodjeli organizacije nije slušalac, i dodavanje u vatrozid ne stvara ga. Nešto mora završiti IKE na toj adresi, a mehanizam se razlikuje ovisno o tome posjeduje li mrežni prolaz adresu ili je prevodi uređaj uzvodno. Put paketa je ono što razlikuje te dvije situacije, i on odlučuje koja vam je značajka platforme potrebna prije nego što bilo ko otvori zahtjev za promjenu. Prvo modelirajte put, pa odaberite.

Put paketa iza adrese

Udaljeni partner šalje IKE na adresu koju je dobio, na UDP 500 ili na UDP 4500 kada je u igri prolaz kroz NAT. Koji god uređaj na putu drži tu adresu, on datagram ili prima lokalno i odgovara na njega, ili ga prosljeđuje negdje drugdje. To su jedine dvije mogućnosti, i sve ostalo u ovom članku slijedi iz toga koja je istinita.

Lokalno primanje znači da na tom uređaju postoji utičnica vezana za tu adresu. Prosljeđivanje znači da se datagram prepisuje i šalje dalje na drugu krajnju točku, koja tada ima utičnicu. Pravilo vatrozida koje dopušta UDP 500 ne govori vam ništa o tome koja se od te dvije stvari događa.

Zapišite zapis prije nego što bilo što dotaknete: adresu s kojom se partneri povezuju, kako je isporučuje uzvodna mreža, lokalno sučelje ili logičku krajnju točku koja je prima, i proces koji odgovara na IKE. Četiri retka, i svaki se može provjeriti. Kada je nešto od toga nepoznato, to nepoznato je projektni rad, a ne pojedinost provedbe koju ćete riješiti kasnije. Popunjavanje tih redaka nakon odobrenja zahtjeva za promjenu jest način na koji pravilo prijevoda završi na pogrešnom uređaju.

Model A: mrežni prolaz posjeduje adresu

U prvom modelu mrežni prolaz sam drži adresu, bilo kao sekundarnu adresu na postojećem sučelju, bilo kao adresu na namjenskom sučelju, bilo kao loopback koji platforma podržava kao krajnju točku tunela. To su tri različite značajke s tri različita puta konfiguracije, a platforma koja podržava jednu možda ne podržava ostale.

Potvrdite da platforma i izdanje podržavaju točno takav raspored prije nego što na njemu projektirate. Usmjereni blok, dodatna adresa na sučelju i loopback krajnja točka nisu zamjenjivi, a dokumentacija za jedno izdanje ne obećava da će se sljedeće ponašati isto.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Utičnica koja sluša je dokaz. Ako ništa nije vezano za adresu, mrežni prolaz nije završna točka bez obzira na to što kaže tablica usmjeravanja, a snimanje paketa pokazat će da datagrami dolaze bez ičega što na njih odgovara.

Ne stavljajte drugo sučelje u podmrežu koja već postoji negdje drugdje u topologiji i ne pretpostavljajte da će platforma to riješiti. Sučelja u preklapajućim podmrežama daju dvosmislen odabir izvora i, na mnogim platformama, odbijanje konfiguracije uopće.

Model B: uzvodni uređaj je prevodi

U drugom modelu uzvodni vatrozid drži namjensku adresu i prosljeđuje promet na drugi VPN prolaz. To je prijevod odredišta s povratnim putem, i to je posve valjan dizajn sve dok je tako dokumentiran.

Ono što nije jest dokaz da je uzvodni uređaj stekao lokalnu VPN utičnicu. Prijevod prosljeđuje pakete; on ne čini uzvodnu kutiju IKE odgovaračem. Ako se uzvodno pravilo ukloni ili se njegov povratni put pokvari, VPN se zaustavlja iako je mrežni prolaz zdrav i njegovi vlastiti slušači netaknuti.

Zapišite obje adrese: onu s kojom se partneri povezuju i onu koju mrežni prolaz stvarno vidi. Zatim zapišite prijenos i povratni put, jer prijevod koji radi za UDP 500 ali ne za kapsulirani ESP spojit će se i potom neće moći nositi promet, što je zbunjujuća greška za kasnije otklanjanje.

Identitet nije vanjska adresa

IPsec odvaja krajnju točku tunela od prometa koji štiti, a arhitektura drži te odluke na različitim mjestima. Promjena adrese s kojom se partneri povezuju ne mijenja automatski koje su unutarnje prefikse dopuštene, koje su rute instalirane ni kojim resursima sesija može pristupiti.

Autentificirani identitet je opet odvojen. IKEv2 nosi nosivost identiteta i razmjenu autentifikacije koja se ne mora podudarati s vanjskom adresom paketa, i upravo zato prevedeni dizajn još uvijek može ispravno autentificirati.

Ta neovisnost je korisna i ujedno zamka. Dva DNS imena koja se razrješavaju na jednog običnog slušača ne biraju različite VPN pozadine, a certifikat koji imenuje jedan identitet neće zadovoljiti partnera koji očekuje drugi. Potvrdite što partner provjerava prije nego što pretpostavite da to odlučuje sama adresa.

Prihvatite dizajn gledajući jednu vezu

Provjerite kamo se nova ovlaštena veza stvarno dostavlja, koji identitet odgovara i koji je privatni tok zatim dopušten. Tri opažanja, tri različita sloja, a uspješna javna pretraga adrese ne provjerava nijedno od njih.

Zadržite i negativan slučaj: partnera kojeg ne treba prihvatiti, ili unutarnji prefiks koji ne treba biti dostupan, provjereno nakon promjene. Zapis koji ste napisali na početku je ono što taj test čini mogućim bez rekonstruiranja dizajna po sjećanju.

Smisao svega ovoga je omogućiti vlasniku mreže da odabere podržanu metodu dodjele umjesto da se oslanja na opću tvrdnju o tome što svaki vatrozid može učiniti s dodatnom adresom. Ta tvrdnja je upravo mjesto gdje ovi dizajni griješe, jer zvuči uvjerljivo na svakoj platformi a općenito nije istinita ni na jednoj. Zapis od četiri retka rješava to za vašu platformu u deset minuta.