Dau naid VPN yn olynol: pwy sy'n gweld eich traffig go iawn?

Mae pob proffil cleient yn enwi un gweinydd, felly o safbwynt y defnyddiwr mae un twnnel ac un man lle mae'r amddiffyniad yn dod i ben. Mae'r hyn sy'n digwydd ar ôl y porth cyntaf hwnnw'n benderfyniad dylunio nad yw'r cleient byth yn ei weld, ac mae'r ddau ddyluniad cyffredin yn ymddwyn yn wahanol iawn o dan archwiliad. Mewn cadwyn gyfresol mae'r porth cyntaf yn dadgryptio ac yn ailgryptio. Mewn cadwyn nythog mae'n tynnu haen allanol ac yn anfon twnnel mewnol na all ei agor. Mae'r cyfrif neidiau'n unfath yn y ddau, a dyna pam mae'n rhaid tynnu'r gwahaniaeth yn hytrach na'i gyfrif.

Dechreuwch wrth y cleient ac enwch y ddau ben

Dechreuwch lle mae'r defnyddiwr yn dechrau, yn y proffil cysylltiad. Mae'n dal un cyfeiriad pell, un dull dilysu ac, pan fo'r dyluniad yn cefnogi hynny, rhestr llwybrau. Labelwch y twnnel allanol hwnnw o'r cleient i borth A a rhowch gyfeiriadau enghreifftiol iddo: cyfeiriad twnnel y cleient 10.77.0.2, cyfeiriad A 10.77.0.1, a man terfyn cyhoeddus A 198.51.100.10, wedi'u cymryd o ystod dogfennu TEST-NET-2 fel na all unrhyw beth yn yr enghraifft wrthdaro â gwesteiwr go iawn.

Nid oes dim yn y proffil hwnnw'n sôn am borth B, ac nid yw hynny'n ddiffyg. Mae'r ail naid yn perthyn i A, a dyletswydd unig y cleient yw cyflwyno traffig i A a derbyn yr hyn a ddaw yn ôl. Ai A sy'n terfynu'r twnnel, yn ei anfon ymlaen neu'n agor un newydd yw'r cwestiwn y mae gweddill y daith hon yn ei ateb, ac mae'n penderfynu beth y gall A ei ddarllen.

Cyfresol: mae A yn dadgryptio, yna'n ailgryptio

Yn y dyluniad cyfresol mae A yn terfynu traffig ddwywaith. Mae'n tynnu'r amddiffyniad oddi wrth y cleient, yn cael pecyn IP y cymhwysiad, ac yna'n anfon y pecyn hwnnw drwy ail dwnnel y mae A yn ei ddechrau tuag at B. Rhwng y ddwy weithred honno mae'r pecyn yn eistedd yn llwybr anfon A fel pecyn IP cyffredin wedi'i gyfeirio at gyrchfan breifat.

Mae hynny'n cynhyrchu dau ganlyniad sy'n werth eu datgan yn blwmp ac yn blaen. Gall A gymhwyso polisi i'r pecyn mewnol, ar ffurf llwybrau, rheolau hidlo a logio ffynhonnell a chyrchfan, a rhaid i A ddal dwy set o gymwysterau: un fel gweinydd i'r cleient ac un fel cleient B. Mae amddiffyniad yn bodoli ar bob eiliad, eto mae'r gwrthrych sy'n cael ei amddiffyn yn newid ei hunaniaeth yn A.

Nid yw hynny'n golygu bod A yn darllen testun plaen y cymhwysiad. Pan fo'r cleient a'r gwasanaeth yn rhedeg TLS ac yn dilysu tystysgrifau ei gilydd, mae A yn gweld ffrwd cofnodion TLS yn hytrach na chais darllenadwy. Mae cadarnhau lle mae'r amddiffyniad hwnnw'n dod i ben yn gofyn edrych ar gadwyn dystysgrifau'r gwasanaeth, nid ar ddiagram y twnnel.

Nythog: mae A yn tynnu'r haen allanol yn unig

Yn y dyluniad nythog mae'r cleient yn adeiladu twnnel mewnol i B yn gyntaf ac yna'n cario'r twnnel hwnnw y tu mewn i'r un allanol i A. Mae A yn tynnu'r pennawd allanol, yn dod o hyd i dwnnel mewnol, ac yn ei anfon ymlaen heb ddal ei allweddi, felly mae'r amddiffyniad mewnol yn dal i derfynu yn B.

Yna mae dolen lan y cleient yn cario dwy haen, tra bo'r llwybr rhwng A a B yn cario un. Mae A yn gweld cyfeiriadau allanol y twnnel mewnol, sy'n ddigon i wybod bod traffig yn bodoli ac yn fras i ble mae'n mynd, ac yn annigonol i ddarllen y llwyth. Dyna'r gwahaniaeth cyfan oddi wrth yr achos cyfresol, ac nid oes unrhyw gyfrifydd neidiau'n ei ddangos. Yr hyn y gall A ei wneud o hyd yw gwrthod anfon yr hyn na all ei ddarllen, ac mae hynny bob amser ar gael i weithredwr y porth hwnnw.

Mae nythu'n codi tâl am y briodwedd honno. Mae pob haen yn ychwanegu gorbenion pennawd, felly mae cynllunio MTU a MSS yn dod yn orfodol yn hytrach na thaclus, a gall llwybr sy'n gweithio ag un haen ollwng pecynnau mawr yn dawel gyda dwy. Mae angen ei ymddygiad ailgysylltu a chadw'n fyw ei hun ar bob haen hefyd, ac mae methiant mewn un haen yn edrych fel diffyg rhannol drwy'r llall.

Tynnwch y sylwedyddion, nid y twneli'n unig

Y twneli yw rhan hawdd y llun. Y sylwedyddion yw sylwedd y dyluniad, felly ysgrifennwch un rhes fesul safbwynt a llenwch yr hyn y gall pob un ei ddarllen mewn gwirionedd.

Mae dwy res yn cael eu cymysgu'n gyson: gweithredwr A a darparwr twnnel y cleient. Gallant fod yn un endid, ac nid yw enwau porth ar wahân yn eu gwneud yn annibynnol. Mae perchnogaeth annibynnol angen rheolaeth weinyddol ar wahân, cymwysterau ar wahân a logio ar wahân.

Mae metadata'n goroesi'r ddau ddyluniad. Mae amseru, meintiau pecynnau a chyfrifon cysylltiadau'n parhau'n sylwadwy ar bob naid, felly mae dwy naid yn codi cost cydberthynas yn hytrach na dileu'r signal. Dylid gwirio dyluniad sy'n addo anweledigrwydd yn erbyn y rhestr honno cyn i unrhyw un ddibynnu arno.

Cerddwch y llwybrau methiant cyn i chi ddewis

Torrwch bethau'n fwriadol o'r cleient, yn y drefn y byddai defnyddiwr yn dod ar eu traws. Dechreuwch gyda'r rhyngwyneb a'i MTU, oherwydd mae nythu'n methu ar faint pecyn ymhell cyn iddo fethu ar ddilysu.

ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1

Yna cadarnhewch y mannau terfyn amddiffyn yn lle eu rhagdybio. Gofynnwch i'r gwasanaeth am ei dystysgrif o fewn pa dwnnel bynnag sy'n fyny, a chymharwch y gadwyn y mae'r cleient yn ei gweld â'r gadwyn y mae'r gwasanaeth yn ei chyflwyno mewn gwirionedd. Mae porth sy'n ailsigno neu'n rhyng-gipio yn newid y dystysgrif honno, ac mae'r archwiliad yn dod yn weladwy mewn un gorchymyn.

openssl s_client -connect intranet.example.com:443 -brief < /dev/null

Gorffennwch gyda'r matrics ailgysylltu: mae twnnel y cleient yn cwympo, mae twnnel B yn cwympo, mae'r llwybr rhwng A a B yn newid. Nodwch beth sy'n dychwelyd a beth nad yw, ac a yw cysylltiad mewnol byth yn cwympo i lwybr y tu allan i'w gludydd arfaethedig. Cofnodwch y cyfeiriadau a ddefnyddiodd pob prawf, oherwydd mae ei ailadrodd ar rwydwaith mynediad wahanol yn ateb cwestiwn gwahanol. Ailadroddwch y prawf MTU ar ôl pob ailgysylltiad hefyd, oherwydd gall llwybr sydd wedi newid ostwng y maint defnyddiadwy heb i un llinell ffurfweddu symud.

Dewiswch gyfresol pan fo'n rhaid i A gymhwyso polisi i'r pecyn mewnol, neu pan na all y cleient redeg dau dwnnel wedi'u pentwr. Dewiswch nythu pan fo'n rhaid i'r llwyth mewnol aros yn annarllenadwy yn A. Ysgrifennwch y dewis gyda'i sylwedyddion a'i rifau MTU, ac ni fydd yn rhaid i'r person nesaf ail-dynnu'r darlun cyfan i ateb un cwestiwn.