L2TP, GRE neu IPsec: pa haen ddylai gario'r sesiwn?

Mae dwy gwestiwn yn mynd yn gymysg bob tro y daw L2TP, GRE ac IPsec i'r un nodyn dylunio: pa sesiwn ydw i'n ei chario, a pha haen sy'n ei diogelu? Os ceir y cyntaf yn anghywir, bydd popeth i lawr yr afon yn aros yn gyson yn fewnol wrth ddatrys y problem anghywir — gor-riwdwaith wedi'i lwybro wedi'i adeiladu lle'r oedd angen i ddefnyddwyr ddeialu i mewn, neu ganolbwynt deialu i mewn yn sefyll dros giât safle-i-safle. Mae'r daflen waith isod yn gorfodi'r gwahaniaeth hwnnw cyn i unrhyw un fewngofnodi i ddyfais. Llenwch hi mewn trefn a bydd pob llinell yn rhywbeth y gallwch ei phrofi ar ei phen ei hun.

Dechreuwch o'r sesiwn, nid o'r rhestr protocolau

Mae defnyddiwr o bell sy'n dal sesiwn PPP a gor-riwdwaith wedi'i lwybro rhwng dwy giât yn berthnasoedd rhwydwaith gwahanol, hyd yn oed pan fydd y ddau yn y pen draw wedi'u lapio mewn IPsec. Mae'r cyntaf yn terfynu cyswllt fesul defnyddiwr ac angen neilltuo cyfeiriad, dilysu person neu ddyfais, a pholisi sy'n enwi pa rwydweithiau mewnol y caiff y defnyddiwr hwnnw eu cyrraedd. Mae'r ail yn anfon pecynnau rhwng safleoedd nad oes neb yn deialu i mewn iddynt.

Ysgrifennwch un frawddeg sy'n enwi pa un o'r ddau ydych chi'n ei adeiladu, yna ei darllen yn ôl fel pe baech chi'r person sy'n gorfod ei gweithredu. Os oes ar y frawddeg angen y gair «a», rydych chi'n adeiladu'r ddau, ac mae angen dwy golofn ar y daflen waith yn lle un golofn gyfaddawd sy'n gwasanaethu'r naill a'r llall yn hanner. Os yw'n enwi defnyddiwr ond dim pwll cyfeiriadau, neu ragddodiad ond dim polisi anfon, mae'r frawddeg yn dal yn anghyflawn. Mae'r geiriad yn swnio'n fiwrocrataidd, ond dyma'r man rhataf i ddal dyluniad a fyddai fel arall yn cael ei ddarganfod gan docyn desg gymorth.

Rhowch un gwaith yn union i bob haen

Mae L2TPv2 yn cario sesiynau PPP rhwng ei ddau bwynt terfyn. Mae PPP yn rhedeg y trafodaethau cyswllt ac, pan gânt eu trafod, y dilysu defnyddiwr; Nid yw L2TP yn ychwanegu unrhyw grifft, felly nid yw daemon L2TP noeth yn gweithredu unrhyw ran o'r berthynas diogelwch IPsec ac mae'n perthyn yn unig o fewn cyswllt rydych chi'n ymddiried ynddo'n barod.

Mae GRE yn encapsyliad rhwng dau gyfeiriad. Mae'n cario pecynnau haen rhwydwaith ar draws gor-riwdwaith rhesymegol ac, ar ei ben ei hun, nid yw'n cynnig cyfrinachedd nac identity cymar dilysedig. Nid diffyg yw hynny: cynlluniwyd y pennawd i fod yn syml fel ei fod yn parhau'n rhad i'w brosesu ar galedwedd anfon. Y canlyniad yw bod GRE yn ateb «sut mae symud y pecyn hwn rhwng dau gyfeiriad» a dim arall, a dyna'r union gwestiwn y dylech ei ofyn iddo.

Mae hynny'n gadael IPsec fel yr haen sy'n dewis traffig, yn dilysu'r cymheiriaid ac yn amgryptio'r hyn y dywedwyd wrthi i'w ddiogelu. Pa draffig y mae'n ei amddiffyn sy'n benderfyniad cyfluniad sy'n gorfod cyfateb i'r encapsyliad y mae'r pwyntiau terfyn yn ei gynhyrchu mewn gwirionedd, oherwydd mae polisi a ysgrifennwyd ar gyfer cyfeiriad allanol GRE yn ymddwyn yn wahanol i un a ysgrifennwyd ar gyfer y rhagddodiadau mewnol. Manyleb GRE yn cadw'r llwyth tâl, y pennawd GRE a'r protocol dosbarthu allanol yn weladwy ar wahân, ac mae ar eich polisi angen yr un gwahaniad.

Ysgrifennwch lwybr y pecyn cyn y cyfluniad

Cymerwch un pecyn a rhestrwch bob pennawd sy'n cael ei ychwanegu, yn y drefn y caiff ei ychwanegu, gan enwi'r ddyfais sy'n ei ychwanegu. I ddefnyddiwr sy'n deialu i mewn, fel arfer PPP y tu mewn i L2TP y tu mewn i IPsec; i or-riwdwaith safle, y pecyn IP mewnol y tu mewn i GRE y tu mewn i IPsec. Os yw dwy ddyfais yn ychwanegu'r un pennawd, mae gennych ddolen neu diwnel dyblyg, ac ni fydd unrhyw faint o olygu polisi yn ei drwsio.

Mae'r un rhestr yn setlo MTU, oherwydd y maint mewnol defnyddiadwy yw'r MTU llwybr a fesurwyd heb y penawdau a restrwyd gennych gynnau, a dim byd arall. Peidiwch â chopïo rhif o bost fforwm: adiwch y gorbenion IP, UDP ac ESP allanol, yna GRE neu L2TP, yna PPP lle mae'n berthnasol, a thynnwch o'r MTU llwybr a fesurwyd gennych mewn gwirionedd. Mae symptomau sy'n ymddangos dim ond ar drosglwyddiadau mawr, neu sesiynau sy'n sefydlu ac yna'n marw ar yr ymateb mawr cyntaf, fel arfer yn olrhain yn ôl at y swm hwnnw'n cael ei wneud drwy ddyfalu.

Gwiriwch bob haen ar wahân, o'r tu allan i mewn

Rhedwch y gwiriadau mewn trefn a stopiwch ar yr un cyntaf sy'n methu. Mae pob llinell yn ateb cwestiwn gwahanol, felly mae methiant yn pwyntio at un golofn o'r daflen waith yn lle dweud wrthych fod y tiwnel wedi torri.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Ar flwch Cisco mae'r cyfwerth yn dibynnu ar y rôl, ac mae'r gystrawen union yn dibynnu ar y platfform a'r rhyddhad: show crypto session i'r cymheiriaid IPsec, cownteri rhyngwyneb i'r GRE neu'r rhyngwyneb tiwnel, a'r dilysiad VPDN neu PPP i'r rôl deialu i mewn. Nid yw set orchmynion sy'n terfynu PPP yn profi dim am gefnogaeth GRE, ac nid yw rhyngwyneb GRE sy'n gweithio yn profi dim am y gwasanaeth PPP, felly gwiriwch y rôl a gyfluniodd chi mewn gwirionedd yn hytrach na'r un yn y diagram.

Cofnodwch bob allbwn wrth ymyl y llinell daflen waith y mae'n perthyn iddi. Mae nodiadau a gymerwyd tra bo'r nam yn fyw yn werth mwy na thopoleg a ailddenfynnwyd wedyn o'r cof.

Trefnwch y dymchwel, yna ailwirio

Mae'r dymchwel yn rhedeg i'r gwrthwyneb am reswm: tynnwch y traffig gwarchodedig allan o'r polisi IPsec cyn i chi ddileu'r encapsyliad yr ysgrifennwyd ef yn ei erbyn, neu bydd y polisi'n parhau i bwyntio at ryngwyneb nad yw'n bodoli mwyach ac mae'r llwyth cyfluniad nesaf yn methu yn rhywle sy'n edrych yn ddigyswllt. Ar Linux mae hynny'n golygu dileu'r cofnodion state a pholisi cyn y rhyngwyneb tiwnel; ar lwybrydd, tynnu'r cofnod crypto map neu broffil cyn y tiwnel.

Ar ôl yr ailadeiladu, ailadroddwch y pedwar arsylwad derbyn un ar y tro: cyrhaeddbaredd allanol, cymdeithas IPsec sefydledig, sesiwn PPP sefydledig lle mae'r dyluniad yn cynnwys un, ac anfon mewnol i gyfeiriad cyrchfan go iawn. Nid yw un golau gwyrdd yn dystiolaeth i'r tri arall, a'r bwlch hwnnw yw'r methiant sy'n goroesi hiraf mewn cynhyrchu — tiwnel sydd i fyny, wedi'i amgryptio, ac yn anfon dim oherwydd na ychwanegwyd y llwybr mewnol erioed.

Cadwch y daflen waith wedi'i llenwi wrth ymyl cyfluniad y ddyfais. Mae unrhyw golofn na allwch ei llenwi yn haen heb waith wedi'i neilltuo, ac mae haen heb waith wedi'i neilltuo fel arfer yn haen na ddylai fod yn y stac.