Safle-i-safle yn erbyn mynediad o bell drwy VPN: beth mae’r ddau yn ei gysylltu

Gelwir y ddau ddyluniad yn VPN ac maent yn datrys problemau gwahanol. Mae twnnel safle-i-safle yn cysylltu dau borth, felly gall pob gwesteiwr y tu ôl iddynt gyrraedd cyfeiriadau a ganiateir ar yr ochr arall heb osod unrhyw beth. Mae twnnel mynediad o bell yn cysylltu dyfeisiau unigol â rhwydwaith, un cleient ar y tro. Mae’r gymhariaeth yn bwysig oherwydd daw’r rhan fwyaf o gamgymeriadau defnyddio o ffurfweddu un tra’n disgwyl ymddygiad y llall, a’r symptom fel arfer yw terfyn amser ar wasanaeth y cyrhaeddodd y twnnel ef mewn gwirionedd.

Dau ddyluniad, dwy ffin

Nid yw’r naill ddyluniad na’r llall yn ymestyn parth darlledu LAN. Nid yw dyfeisiau ar yr ochr bellaf yn ymddangos mewn rhestr ddarganfod leol, a disgwyl iddynt wneud hynny yw’r rhagdybiaeth gyntaf i’w gollwng. Mae enwau DNS preifat a gyhoeddwch yn fwriadol yn fwy rhagweladwy na’r un protocol darganfod, ac maent yn goroesi newid gwerthwr.

Cymerwch 10.10.0.0/24 ar un safle a 10.20.0.0/24 ar y llall. Mae porth A angen llwybr neu ddetholydd traffig sy’n anfon y rhagddodiad 10.20.0.0/24 i’r twnnel, ac mae porth B angen y ddelwedd gyfatebol. Yna mae gwesteiwyr y ddwy ochr yn defnyddio cysylltedd IP cyffredin ac yn byth yn dysgu bod twnnel yn bodoli. Mae’r anweledolrwydd hwnnw’n nodwedd, a dyna hefyd pam y mae methiannau’n edrych fel gwallau rhwydwaith cyffredin yn hytrach na gwallau twnnel.

Nid yw polisi a llwybr yr un twnnel

Mewn defnydd IPsec wedi’i seilio ar bolisi, mae’r detholwyr traffig a drafodwyd yn diffinio’n union pa barau ffynhonnell a chyrchfan sy’n cael eu hamddiffyn. Os ymddengys is-rwydwaith newydd y tu ôl i un porth ac nad oes detholydd yn ei chwmpasu, mae’r twnnel yn aros i fyny ac yn syml ni chedwir yr is-rwydwaith newydd. Mewn dyluniad wedi’i seilio ar lwybr, mae rhyngwyneb yn derbyn y traffig a’r tabl llwybro sy’n penderfynu, sy’n golygu mai newid llwybr yw ychwanegu rhagddodiad, nid aildrafod y twnnel.

Mae StrongSwan yn datgelu’r ddau olygfa yn uniongyrchol, a darllen y ddau gyda’i gilydd yw’r ffordd i ddweud pa fodel a ddefnyddiwyd gennych mewn gwirionedd.

swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'

Mae rhestr detholwyr sy’n hepgor y rhagddodiad sy’n bwysig i chi yn egluro’r methiant heb unrhyw ddalfa pecynnau, ac mae llwybr sy’n pwyntio at y rhyngwyneb anghywir yn egluro’r methiant cyfatebol ar y ffordd yn ôl. Darllenwch y ddau cyn aildrafod unrhyw beth, oherwydd ni fydd ail-allwedd yn ychwanegu detholydd na wnaethoch ei ffurfweddu erioed.

Cynlluniwch y cyfeirio cyn y twnnel

Yr ystodau sy’n gorgyffwrdd yw’r camgymeriad dylunio na ellir ei drwsio gyda ffurfweddiad. Os yw’r ddau safle’n defnyddio 192.168.1.0/24, mae gan westeiwr sydd angen 192.168.1.50 ddau ymgeisydd a dim ffordd o ddewis. Bydd y twnnel yn dilysu, bydd y cymdeithasau diogelwch yn sefydlu, a bydd y penderfyniad llwybro yn anghywir neu’n amwys beth bynnag.

Dewiswch un o dri opsiwn gonest: ailrifo un safle, cyfieithu’r ystod sy’n gorgyffwrdd yn y porth fel bod pob ochr yn gweld rhagddodiad gwahanol, neu roi’r gorau i lwybro uniongyrchol ar gyfer y gwesteiwyr hynny a chyhoeddi’r gwasanaeth mewn ffordd arall. Mae gan bob un gost, a’r cyntaf fel arfer yw’r rhataf dros orwel dwy flynedd. Penderfynwch cyn bod y twnnel yn bodoli, oherwydd ar ôl hynny mae’r newid yn cyffwrdd pob dyfais sydd â’r hen gyfeiriad.

Trwsiwch gwestiwn MTU yn gynnar hefyd. Mae twnnel yn lleihau’r llwyth defnyddiol, ac mae dyluniad sy’n dibynnu ar ffracsiynu yn ymddwyn yn wahanol i un sy’n gosod y MSS yn sefydlog wrth y pyrth.

Mae anfon ymlaen a pholisi y tu allan i’r twnnel

Rhaid i’r porth fod yn barod i anfon pecynnau ymlaen rhwng rhyngwyneb y twnnel a rhyngwyneb y LAN, ac mae’r ddau gyfeiriad angen polisi sy’n caniatáu’r gwasanaeth. Ar Linux mae’r rhain yn ddau osodiad ar wahân, ynghyd â’r rheolau tânfur sy’n penderfynu a oes caniatâd o gwbl i’r llif a anfonir ymlaen.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPT

Mae’r gwesteiwr sy’n derbyn yn ychwanegu trydedd haen: rhaid i’w dânfur ei hun dderbyn cleient o’r is-rwydwaith bell o hyd. Bydd gweinydd ffeiliau sy’n caniatáu dim ond ei /24 lleol yn gwrthod traffig a anfonir ymlaen o 10.20.0.7, ni waeth pa mor iach y mae’r twnnel yn edrych, ac mae’n hawdd camddarllen y gwrthodiad hwnnw fel methiant llwybro.

Profwch o westeiwr, nid o’r porth

Gall ping a anfonir gan y porth ei hun ddilyn cyfeiriad ffynhonnell a pholisi gwahanol i draffig defnyddwyr a anfonir ymlaen. Mae hynny’n ei wneud yn brawf gwan ac, yn achlysurol, yn un camarweiniol: mae’n llwyddo tra bod y rhaglen yn methu, neu’n methu tra bod y rhaglen yn gweithio.

ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/null

Defnyddiwch westeiwr go iawn, cyfeiriad ffynhonnell go iawn, a’r protocol go iawn y mae’r rhaglen yn ei ddefnyddio. Yna darllenwch y llwybr ateb ar wahân, oherwydd mae cyfeiriad ymlaen sy’n gweithio heb lwybr dychwelyd yn cynhyrchu terfyn amser sy’n edrych yn union yr un fath â gwasanaeth sydd wedi’i rwystro.

Dewiswch y dyluniad yn ôl y cwestiwn rydych yn ei ateb: a ydych yn cysylltu rhwydweithiau, neu’n derbyn dyfeisiau? Mae popeth arall, gan gynnwys pa werthwr a ffurfweddwch, yn dilyn o’r ateb hwnnw.