VPN safle-i-safle ar sail llwybrau neu ar sail polisi: beth sy’n wahanol

Mae’r ddwy gynllun yn gwarchod yr un traffig â’r un peirianwaith IPsec, ac maen nhw’n wahanol yn yr hyn sy’n penderfynu pa becyn sy’n mynd i’r twnel. Mewn cysylltiad ar sail polisi, y detholwyr traffig a drafodwyd sy’n gwneud y gwaith hwnnw; mewn un ar sail llwybrau, llwybr sy’n pwyntio at ryngwyneb twnel sy’n gwneud hynny. Mae cymysgu’r ddau yn cynhyrchu’r edefyn cymorth cyfarwydd lle mae’r twnel yn adrodd ei fod wedi’i sefydlu tra nad yw’r rhaglen yn cyrraedd dim. Mae’r gwahaniaeth yn bwysicaf pan fyddwch yn ychwanegu rhwydwaith, yn rhedeg protocol llwybro neu’n dadfygio llwybr sy’n gadael yn dawel drwy’r allanfa anghywir.

Dwy ffordd o benderfynu beth sy’n mynd i’r twnel

Mae VPN ar sail polisi yn adeiladu polisi diogelwch sy’n cyfateb i ragddodiadau ffynhonnell a chyrchfan, yna’n amgryptio popeth sy’n ffitio. Rhaid i’r partner drafod detholwyr cydnaws, felly mae’r cwmpas effeithiol yn dod yn groestoriad o’r hyn a gynigiwyd gan y ddwy ochr. Nid oes dim y tu allan i’r groestoriad hwnnw yn cael ei warchod, beth bynnag mae’r tabl llwybro yn ei ddweud.

Mae VPN ar sail llwybrau yn creu rhyngwyneb sy’n cynrychioli’r twnel ac yn gadael i’r tabl llwybro anfon traffig iddo. Mae daemon IKE yn dal i osod y cyflwr a’r polisi fesul rhyngwyneb, a dyna’r manylyn y mae pobl yn ei hepgor pan fyddant yn penderfynu bod llwybrau wedi disodli amgryptio. Mae’r ddwy gynllun yn amgryptio ag IPsec; dim ond y mecanwaith dewis sy’n wahanol.

Darllenwch y gymhariaeth isod fel set o lofnodion methiant ac nid fel bwrdd sgorio, oherwydd nid yw’r un golofn yn ennill ar ei phen ei hun.

Ar sail polisi: y detholydd yw’r contract

Mae detholwyr yn cael eu trafod, nid dim ond eu ffurfweddu. Cynigiwch 10.10.0.0/16 ar un ochr a 10.10.1.0/24 ar y llall, a bydd’r gymdeithas yn cwmpasu’r hyn y daeth y drafodaeth i ben arno tra bo pob gwesteiwr arall yn aros y tu allan.

Darllenwch y cyflwr a osodwyd yn lle’r ffeil ffurfweddu. Ar bartner Linux, tablau’r cnewyllyn ei hun yw’r gwirionedd sylfaenol, ac maen nhw’n dangos yr hyn a oroesodd y drafodaeth. Mae polisi sy’n enwi’r rhagddodiadau cywir heb gyflwr cyfatebol yn golygu na chododd y gymdeithas erioed. Mae cyflwr wedi’i baru â pholisi ar gyfer y rhagddodiad anghywir yn y broblem groes, ac mae’n cynhyrchu’r twnel sy’n edrych yn iach tra nad yw un is-rwydwaith yn cyrraedd dim.

sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sas

Cymharwch y ddau allbwn â’r rhagddodiadau rydych chi’n credu eich bod yn eu gwarchod. Mae’r un gymhariaeth honno’n datrys y rhan fwyaf o adroddiadau am dwnel sy’n gweithio gyda gweinydd na ellir ei gyrraedd. Mae hefyd yn nodi pa bartner i’w newid, gan fod yr anghysondeb fel arfer yn weladwy mewn un cyfeiriad yn unig.

Ar sail llwybrau: y rhyngwyneb yw’r contract

Mae rhyngwyneb XFRM yn rhoi enw a hunaniaeth i’r twnel, ac mae traffig yn ei gyrraedd oherwydd bod y tabl llwybro yn dweud hynny. Yna mae sawl rhagddodiad pell yn dod yn broblem llwybro yn hytrach na phroblem detholydd, a gall protocol llwybro eu hysbysebu. Dyna’r gwir ennill, nid amgryptio.

Nid yw’r rhyngwyneb yn dileu’r angen am bolisi. Mae’r daemon yn gosod rheolau fesul rhyngwyneb wedi’u clymu i hunaniaeth y rhyngwyneb, felly mae pecyn sy’n cyrraedd y rhyngwyneb anghywir yn dal i fethu. Mae cyfeiriad ffynhonnell na fydd y partner yn ei dderbyn yn methu hefyd, hyd yn oed â llwybr perffaith. Mae ar sail llwybrau yn golygu bod y llwybr yn penderfynu’r fynedfa, nid bod y polisi wedi diflannu.

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10

Gwyliwch gowntwyr y rhyngwyneb unwaith y bydd y llwybr yn ei le. Mae llwybr sy’n bodoli tra bod y cowntwyr yn aros ar sero yn golygu nad oes dim yn cael ei baru i’r twnel, ac mae hynny fel arfer yn awgrymu cyflwr ar goll yn hytrach na llwybr ar goll.

Lle mae’r ddwy gynllun yn gwir wahanu

Ychwanegu rhwydwaith yw’r prawf glanaf o ba fodel sy’n addas i chi. Mae cynllun ar sail llwybrau yn ychwanegu un llwybr ac yn lledu’r detholydd ar y mwyaf unwaith, tra bo cynllun ar sail polisi yn golygu parau rhagddodiad ar y ddau bartner ac yn ail-drafod. Mae dau is-rwydwaith sefydlog yn gwneud y golygu hwnnw’n ddibwys, ac mae ugain yn ei wneud yn brosiect.

Nid yw’r un model yn disodli wal dân, ac mae cymariaethau fel arfer yn stopio cyn y pwynt hwn. Mae detholydd llydan neu lwybr llydan yn penderfynu beth sy’n cael ei amgryptio, nid beth sy’n cael ei ganiatáu.

Mae ymddygiad MTU hefyd yn wahanol yn ymarferol. Mae enghreifftio yn lleihau’r llwyth defnyddiol, ac mae rhyngwyneb ar sail llwybrau yn cario ei MTU ei hun, felly mae clampio MSS ar y ddau giât yn osgoi symptom y twll du lle mae atebion bach yn cyrraedd ac mae’r rhai mawr yn diflannu. Mae twneli ar sail polisi yn cyfarfod â’r un wal o’r ochr arall, oherwydd nid yw detholydd yn dweud dim am faint y pecyn. Gosodwch y clamp yn fwriadol yn lle beio’r partner.

Mudo heb golli’r llwybr dychwelyd

Cofnodwch y parau rhagddodiad sy’n bodoli cyn newid unrhyw beth, yna symudwch un llwybr rhaglen a’i wylio o’r dechrau i’r diwedd. Nid yw twnel sy’n sefydlu yr un peth â thwnel sy’n anfon ymlaen, ac mae’r gwahaniaeth yn ymddangos yn y cyfeiriad ateb.

Pan fydd y partneriaid yn cysylltu ond nad yw gwesteiwyr LAN yn gallu, archwiliwch y llwybr dychwelyd a’r cyfeiriad ffynhonnell y bydd y gwesteiwr pell yn ei ddefnyddio. Gall gwesteiwr â dau ryngwyneb ateb o’r un anghywir, ac nid oes unrhyw newid detholydd yn trwsio hynny. Dal traffig ar y ddau ben cyn golygu algorithmau.

ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-conns

Cadwch lwybr rheoli nad yw’n dibynnu ar y twnel wrth weithio. Mae troi’n ôl yn haws pan nad yw mynediad y giât ei hun yn reidio ar y cysylltiad rydych chi’n ei ddadfygio.