VPN nythu: pa dwnnel sy'n cario'r cysylltiad allanol?

Nid yw dau gleient VPN yn rhedeg ar yr un pryd yn cynhyrchu twnnel nythu; maent yn cynhyrchu dau dwnnel ac anghydfod am y llwybro. Mae twnnel nythu yn bodoli pan fo cysylltiad y cleient mewnol â'i weinydd ei hun yn cael ei gario gan y twnnel allanol, ac mae hynny'n drefniant a adeiledir yn fwriadol. Os gwneir yn iawn, mae'r gweinydd mewnol yn gweld cyfeiriad y gweinydd allanol; os gwneir yn anghywir, mae un cleient yn ailgysylltu'n dawel o amgylch y llall. Mae tri amod yn penderfynu a yw'r nythu yn wirioneddol neu'n ddamweiniol.

Mae tri amod yn penderfynu'r nythu

Y cyntaf yw pa bwynt terfyn sydd angen pa lwybr. Enwch gyfeiriad y gweinydd mewnol, enwch gyfeiriad y gweinydd allanol, a datganwch yn glir mai dim ond trwy'r twnnel allanol y gellir cyrraedd y gweinydd mewnol. Mae popeth arall yn dilyn o'r frawddeg honno, gan gynnwys pa lwybrau sy'n perthyn i ba dabl.

Yr ail yw a allwch weld y llwybr ar bob haen. Os na allwch ofyn i'r cnewyllyn pa lwybr y byddai cyrchfan benodol yn ei ddefnyddio, rydych yn casglu'r gadwyn o IP allfa derfynol, a dyna'r union dystiolaeth na all wahaniaethu nythu oddi wrth gyd-ddigwyddiad.

Y trydydd yw beth sy'n digwydd pan fydd y twnnel allanol yn cwympo. Gall y twnnel mewnol stopio gydag ef, ailgysylltu dros y rhwydwaith arferol, neu aros wedi'i rwystro nes i'r llwybr allanol ddychwelyd, ac mae'r tri yn bolisïau amddiffynadwy. Nid yr un polisi ydynt, a'r ymddygiad diofyn gan y mwyafrif o gleientiaid yw'r ail. Cleient sy'n ailgysylltu ei bwynt terfyn dros y rhwydwaith ffisegol tra'n dangos cysylltiad iach yw'r ffordd fwyaf cyffredin y mae cadwyn a fwriadwyd yn troi'n dawel yn ddau dwnnel digyswllt.

Amod un: pa bwynt terfyn sydd angen pa lwybr

ip route get 203.0.113.10 yn ateb y cwestiwn hwnnw'n uniongyrchol: mae'n argraffu'r llwybr, y cyfeiriad ffynhonnell a'r rhyngwyneb y byddai'r cnewyllyn yn ei ddefnyddio ar gyfer y gyrchfan honno ar hyn o bryd.

Rhedwch ef ar gyfer y gweinydd mewnol cyn i'r cleient mewnol ddechrau ac eto wedyn, a chymharwch. Os yw'r ateb yn newid o'r rhyngwyneb ffisegol i ryngwyneb y twnnel allanol, mae'r nythu yn wir ar y foment honno. Os nad yw'n newid, mae'r cleient mewnol yn cysylltu'n uniongyrchol, beth bynnag a ddywed y panel. Ailadroddwch ar gyfer cyfeiriad y gweinydd allanol, sydd o hyd i'w ddatrys trwy'r rhyngwyneb ffisegol, oherwydd llwybr sy'n dal y ddau bwynt terfyn yn ailadroddus yw'r methiant sy'n tynnu'r peiriant oddi ar y rhwydwaith yn gyfan gwbl.

Amod dau: archwiliwch y llwybr ar bob haen

Mae dewis llwybr yn fwy na'r prif dabl ar gleient modern. Gall rheolau polisi anfon pecynnau wedi'u marcio i dabl arall, gall cleient rwymo'i soced i ryngwyneb, ac mae gan gynhwysydd neu namespace ei dablau ei hun. ip rule a ip route show table all yw'r ffordd i ddarganfod pa rai o'r mecanweithiau hyn sydd ar waith.

Mae cleient sy'n gosod SO_MARK ar ei soced ei hun, neu sydd wedi'i ffurfweddu i rwymo i ddyfais benodol, yn osgoi'r llwybr diofyn yr oeddech yn credu eich bod wedi'i drefnu. Nodwedd yn hytrach na nam yw hynny, ac mae'n golygu mai'r unig wirio dibynadwy yw un sy'n rhedeg yn yr un namespace â'r cleient. Os yw'r cleientiaid yn rhedeg mewn cynwysyddion, rhedwch y gwiriadau yn y cynwysyddion hynny yn hytrach nag ar y gwesteiwr.

Amod tri: beth sy'n digwydd pan fydd y twnnel allanol yn cwympo

Mae ymddygiad methiant angen penderfyniad, nid diofyn. Ysgrifennwch beth ddylai ddigwydd i'r twnnel mewnol pan fydd yr un allanol yn diflannu, yna gwnewch i'r cleientiaid wneud hynny.

Mae'r opsiynau'n concrit. Mae stopio'r cleient mewnol pan fydd y llwybr allanol yn diflannu yn rhoi cadwyn lân a thoriad amlwg. Mae gadael iddo ailgysylltu'n uniongyrchol yn rhoi argaeledd ac yn tynnu'n dawel yr eiddo y adeiladwyd y gadwyn ar ei gyfer. Mae rhwystro nes i'r llwybr allanol ddychwelyd yw'r mwyaf llym a'r mwyaf trafferthus i'w weithredu, oherwydd mae pob cylchdro yn y twnnel allanol yn dod yn ddigwyddiad gweladwy.

Profwch y tri gyda thraffig diniwed a methiant bwriadol yn y twnnel allanol, oherwydd nid yw darllen y ffurfweddiad yn dweud wrthych pa un sydd gennych. Lladdwch y twnnel allanol, gwyliwch beth mae'r cleient mewnol yn ei wneud, a gwiriwch y llwybr eto tra mae i lawr. Yna dewch â'r twnnel allanol yn ôl a chadarnhewch fod y gadwyn yn ailffurfio yn hytrach â gadael y cleient mewnol ar y llwybr uniongyrchol a ddewisodd yn y cyfamser.

Beth nad yw'r gadwyn yn ei roi i chi

Mae haenau ychwanegol yn ychwanegu pwyntiau terfyn, allweddi a moddau methu; nid ydynt yn ychwanegu unrhyw warant anhysbysrwydd ac nid ydynt yn gwneud y gweithredydd allanol yn analluog i weld bod twnnel yn bodoli. Rhaid i unrhyw honiad am beth mae nythu yn ei amddiffyn enwi'r arsyllydd y mae'n amddiffyn rhagddo.

Dogfen fer yn hytrach na chysylltiad gweithredol yw'r cyflawniad: pa bwynt terfyn sy'n defnyddio pa lwybr, beth sy'n digwydd ar fethiant allanol, a'r tri gorchymyn sy'n dangos y cyflwr presennol. Mae dogfennaeth strongSwan ar anfon ymlaen yn gyfeirnod defnyddiol ar gyfer sut mae traffig twnnel yn cael ei anfon ymlaen rhwng rhyngwynebau ar westeiwr Linux. Rhedwch y gwiriadau eto ar ôl pob diweddariad cleient, oherwydd nid contract yw'r diofynion a gynhyrchodd eich cadwyn. Mae twnnel nythu na allwch ei archwilio yn si o gorn gyda golau statws.