Un NIC neu ddau? Sut i benderfynu ar gynllun rhyngwynebau gweinydd VPN

Mae un addasydd ffisegol yn ddigon ar gyfer llawer o weinyddion VPN, ac nid yw'n gynllun cyffredinol chwaith. Mae'r cysylltiad amgryptiedig yn cyrraedd yr addasydd hwnnw, mae'r broses VPN yn ei ddadgryptio, ac mae'r traffig mewnol yn gadael trwy ryngwyneb rhithwir cyn cyrraedd gwasanaeth lleol neu LAN a lwybrwyd. A yw hynny'n gweithio yn dibynnu ar dri amod: ble mae'r gyrchfan yn byw, a oes gan y LAN lwybr dychwelyd i'r pwll cleientiaid, ac a yw un cyswllt ffisegol a rennir yn rhoi'r ynysu yr ydych yn ei honni. Atebwch y tri hynny ac mae nifer yr addasyddion yn dilyn.

Y tri amod sy'n penderfynu

Yr amod cyntaf yw'r gyrchfan. Cyrhaeddir gwasanaeth ar y gwesteiwr VPN ei hun trwy ryngwyneb y tiwnel yn unig, tra bod gwesteiwr ar y LAN angen anfon ymlaen a llwybr yn ol. Yr ail amod yw'r llwybr dychwelyd hwnnw, oherwydd rhaid i'r ddyfais LAN wybod sut i gyrraedd y pwll cleientiaid, naill ai trwy lwybr neu trwy gyfieithu ar y gweinydd.

Y trydydd amod yw gwahanu. Mae un addasydd yn golygu bod pob pecyn, wedi'i amgryptio ai peidio, yn rhannu cyswllt ac fel arfer gadwyn polisi, felly nid yw un rhyngwyneb yn bodloni honiad ynysu sy'n dibynnu ar galedwedd ar wahan. Mae hynny'n ffaith am y llwybr, nid am sut mae'r system weithredu wedi'i ffurfweddu. Gallwch hidlo traffig y tiwnel o hyd, ond ni allwch honni ffin nad ydych yn ei chael.

Nid oes yr un o'r tri yn ymwneud a nifer y pyrth ar y siasi. Maent yn ymwneud a llwybro, perchnogaeth cyfeiriadau a pha mor fawr y mae'r cynllun yn dibynnu ar wahanu ffisegol.

Mae dau addasydd yn parhau'n ddewis dilys pan fydd parthau ffisegol, uplinkau ar wahan, trwybwn neu lwybr adfer all-led yn ei gyfiawnhau. Mae'r rhain yn ofynion pendant, ac maent yn werth eu nodi cyn i unrhyw un archebu caledwedd.

Pan fydd y gwasanaeth yn rhedeg ar y gwesteiwr VPN

Nid oes angen anfon ymlaen o gwbl yn yr achos symlaf. Mae'r daemon yn derbyn pecynnau'r cleient ar ryngwyneb y tiwnel ac yn eu trosglwyddo i soced lleol, ac mae'r ateb yn dychwelyd trwy'r un rhyngwyneb. Mae cyfeiriad y pwll cleientiaid yn gyfeiriad lleol go iawn o safbwynt y gwesteiwr.

Mae dau beth yn dal i fod yn rhaid eu cael yn iawn: rhaid i'r gwasanaeth wrando ar gyfeiriad y gall y tiwnel ei gyrraedd, a rhaid i danwal y gwesteiwr dderbyn traffig sy'n cyrraedd rhyngwyneb y tiwnel. Mae'r ddau i'w gweld yn y gorchmynion isod.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Mae clymu gwasanaeth i'r cyfeiriad cyhoeddus yn unig, neu hidlo rhyngwyneb y tiwnel ar gam, yn cynhyrchu cysylltiad sy'n cyrraedd y gwesteiwr ac yna'n marw. Mae hynny'n edrych fel nam VPN ac fel arfer yn benderfyniad soced neu danwal.

Pan fydd y gyrchfan ar y LAN

Dyma lle mae cynllun un addasydd yn ennill ei enw am fod yn anodd ei drin. Rhaid i'r gweinydd anfon pecynnau'r cleient tuag at y LAN, a rhaid i'r ddyfais LAN anfon atebion yn ol i'r pwll cleientiaid. Naill ai rydych yn cario'r pwll hwnnw fel llwybr ar y LAN, neu'n cyfieithu'r cyfeiriad ffynhonnell ar y gweinydd fel bod atebion yn dychwelyd i'r gweinydd ei hun.

Mae'r ddau ateb yn ddilys ac maent yn methu'n wahanol. Mae llwybr dychwelyd yn cadw cyfeiriad gwreiddiol y cleient yn weladwy i'r gyrchfan, sy'n dda i logiau ac yn ddrwg i reolau tanwal sy'n tybio cyfeiriadau LAN. Mae cyfieithu yn cadw'r LAN yn syml ac yn cuddio hunaniaeth y cleient rhag y gyrchfan.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Llwybr anghymesur yw'r symptom clasurol: mae cais y cleient yn cyrraedd, mae'r ateb yn gadael trwy lwybrydd gwahanol, ac mae'r cysylltiad yn dod i ben heb wall ar y naill ben na'r llall. Cipiwch ar y ddwy ochr cyn dod i unrhyw gasgliad am y tiwnel.

Pam nad yw alias yn creu ail barth

Ychydig iawn sy'n newid wrth ychwanegu ail gyfeiriad at yr un addasydd, neu greu rhyngwyneb ffug i ddynwared ail borth. Mae'r pecynnau yn dal i adael trwy'r un cyswllt ffisegol, yr un porth switsh ac fel arfer yr un gadwyn danwal, felly nid oes ffin newydd rhyngddynt. Mae'n hwylustod ffurfweddu, nid segmentu. Triniaeth o'r fath fel ffin parth yw'r ffordd y mae honiad ynysu yn goroesi ar bapur yn unig.

Mae angen gwahanu go iawn yn y llwybr ar barth ar wahan, a dyna'r gofyniad y mae ail addasydd yn ei fodloni. Os yw rheol yn dibynnu ar i draffig sy'n wynebu'r VPN beidio byth a rhannu parth darlledu a thraffig sy'n wynebu'r LAN, ni all un cebl ddarparu'r briodwedd honno, waeth sut y cyfeiriadir y gwesteiwr.

Lle mae cynnyrch yn dogfennu topoleg aml-rhyngwyneb ar gyfer modd penodol, dilynwch ddogfennaeth y cynnyrch hwnnw yn lle dyfeisio gwaith o gwmpas. Mae gwerthwyr hefyd yn newid eu topolegau a gefnogir rhwng rhyddliadau, sy'n reswm arall dros ddarllen y canllaw cyfredol yn hytrach na hen sgrin gydymaith.

Gwiriwch y cynllun yn erbyn y traffig a ganiateir

Rhestrwch y dosbarthiadau traffig y disgwylir i'r gweinydd eu cario: cleient i westeiwr, cleient i LAN, gwesteiwr i LAN, a'r cysylltiad allanol amgryptiedig. Mae gan bob dosbarth ffynhonnell, cyrchfan a rhyngwyneb, a rhaid i'r cynllun fodloni'r pedwar ar unwaith. Cynllun sy'n ymdrin a thri ohonynt yw'r un sy'n cynhyrchu tocynnau fel arfer.

Yna cadarnhewch y rhyngwynebau gwirioneddol a'r cipiad gwirioneddol, yn hytrach na'r diagram yn y ddogfen gynllunio. Mae'r gorchmynion isod yn argraffu'r ddau olygfa.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Os yw'r cipiad allanol yn dangos y traffig amgryptiedig ac mae'r cipiad mewnol yn dangos y traffig dadgryptiedig ar ryngwyneb y tiwnel tra bod yr addasydd ffisegol yn cario'r ddau, mae un NIC yn gwneud y gwaith. Os yw'r cipiad mewnol yn wag, mae'r broblem yn y tiwnel neu yn y rheolau anfon ymlaen, nid yn nifer yr addasyddion. Penderfynwch y topoleg o'r ddau gipiad hynny a'r tabl llwybro, a bydd gan y newid nesaf rywbeth i'w fesur yn ei erbyn.