Pa becyn y mae polisi VPN dau WAN yn cydweddu ag ef?

Mae ceisiadau i lwybro’r VPN dros yr ail uplink yn disgrifio o leiaf dau dasg wahanol, ac ni fydd y polisi sy’n trwsio un yn cyffwrdd â’r llall. Yn y dasg gyntaf, mae’r cludiant amgryptiedig rhwng dau ben yn symud i gyfeiriad WAN arall. Yn yr ail, mae ffrwd cymhwysiad dadgryptedig defnyddiwr cysylltiedig yn gadael tuag at hop nesaf gwahanol. Mae’r ddau yn gyfreithlon, mae’r ddau yn defnyddio llwybro, ac mae angen i bob un gydweddu â phecyn sy’n bodoli ar y pwynt lle gwneir y penderfyniad. Ewch trwy’r gwiriadau isod yn eu trefn, gan mai’r cyntaf sy’n pennu pa becyn y dylai rheolau diweddarach ei enwi.

Enwch y ddwy sgwrs

Dychmygwch weithiwr o bell wedi’i gysylltu â phorth swyddfa, yn agor HTTPS i weinydd cymhwysiad mewnol. Mae dwy sgwrs annibynnol ar y wifren, ac mae ganddynt gyfeiriadau gwahanol ar bob pen. Mae’r sgwrs allanol yn rhedeg rhwng dau ben VPN: cyfeiriad y porth i gyfeiriad y cymar, yn yr hyn bynnag brotocol a phorth y mae’r defnydd wedi’i drafod. Mae’r sgwrs fewnol yn rhedeg o’r cyfeiriad a roddwyd i’r cleient i gyfeiriad gweinydd y cymhwysiad ar borth 443.

Nid porth cyrchfan y cymhwysiad yw porth cludiant y VPN, ac ni fydd unrhyw faint o bolisi ar TCP 443 yn symud y twnnel. Yn yr un modd, nid yw rheol sy’n ailgyfeirio cyfeiriad cludiant y cymar yn dweud dim am ble mae cais HTTP y defnyddiwr hwnnw’n mynd ar ôl dadgryptio. Ysgrifennwch y ddwy sgwrs gyda’u cyfeiriadau go iawn cyn cyffwrdd â rheol, oherwydd daw’r rhan fwyaf o’r dryswch yn y maes hwn o enwi un a ffurfweddu’r llall.

Darganfyddwch ble y gall eich polisi weld y pecyn mewn gwirionedd

Rhaid gwerthuso’r gydweddiad yn y gadwyn a’r gofod enwau lle mae’r pecyn yn dal yn y ffurf a ddisgrifiasoch. Mae rheol sydd ynghlwm wrth fewnfa LAN yn gweld y pecyn mewnol, heb ei amgryptio, cyn iddo gael ei lwybro tuag at y twnnel. Mae rheol a gymhwysir i draffig a gynhyrchir yn lleol yn gweld pecynnau y mae’r porth ei hun yn eu creu, ac nid yw’n cynnwys yn awtomatig draffig y mae’r porth yn unig yn ei anfon ymlaen. Mae allbwn wedi’i amgapsiwleiddio yn drydydd achos eto, fel arfer yn cael ei drin ar y rhyngwyneb sy’n cario’r twnnel yn hytrach nag ar ochr LAN.

Dyma pam mae’r un darn ffurfweddu yn ymddwyn yn wahanol ar ddau lwyfan: mae’r pwyntiau atodi yn wahanol, a gall bachyn polisi gwerthwr fod cyn neu ar ôl y cam amgryptio. Darllenwch lwybr y pecyn ar gyfer y cynnyrch penodol yn lle tybio’r drefn o ddiagram gwerthwr arall.

Cadarnhewch y cludiant a drafodwyd gennych

Ar gyfer IPsec wedi’i amgapsiwleiddio mewn UDP, mae RFC 3948 yn rhoi ESP o fewn UDP ac yn defnyddio marcwr nad yw’n ESP i gadw IKE yn wahaniaethol ar y porth a rennir. Mae ESP plaen yn brotocol IP, nid yn borth TCP nac UDP, felly ni fydd rheol wal dân a ysgrifennwyd yn erbyn rhif porth yn ei chydweddu o gwbl. Mae’r gwahaniaeth hwn yn penderfynu a oes angen rheol UDP, rheol protocol, neu’r ddau ar eich polisi WAN.

Mae gwerthoedd a drafodwyd yn curo rhai a gofiwyd. Darllenwch borthladdoedd a chyfeiriadau presennol y cymdeithasiad o’r ddyfais yn lle ychwanegu TCP 4500 neu hen borth gwerthwr rhag ofn, sy’n dal traffig heb berthynas ac yn cuddio’r gwir broblem dosbarthu.

Gwiriwch y llwybr dychwelyd cyn ymrwymo

Mae llwyddiant allan yn profi hanner dyluniad. Nid yw pecyn sy’n dychwelyd tuag at y pwll cleientiaid o bell yn weladwy mwyach o dan gyfeiriad y cleient unwaith y bydd amgapsiwleiddio yn ei ddisodli: y gyrchfan allanol yw cyfeiriad cludiant y cymar. Os yw’r ail uplink yn cyrraedd y cymar hwnnw trwy gwmni cludo gwahanol, gall ei gyfieithiad a’i hidlo anghytuno â’r cyntaf, a gall fod angen ailadeiladu’r cymdeithasiad yn hytrach na’i fudo.

Cyflwr cyfieithu cyfeiriadau rhwydwaith yw dioddefwr arferol newid WAN. Cofnodwch yr uplink a ddewiswyd, y cyfeiriad ffynhonnell allanol a ddisgwylir, y cyfieithiad sy’n cael ei ddefnyddio a chyrhaeddiad y cymar yn ôl ato, yna cadwch y cludiant yn gyrhaeddadwy heb ei anfon i’r twnnel y mae’n ei gario.

Gwiriwch y ddwy haen gyda dau gipiad

Mae un cipiad ar y rhyngwyneb WAN ac un y tu mewn i’r twnnel yn setlo’r cwestiwn yn gyflymach nag unrhyw gymhariaeth ffurfweddu. Rhedwch hwy o’r porth tra bo cleient a gymeradwywyd yn gwneud un cais, a chadwch y ddau ffeil.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Dylai’r cipiad cyntaf ddangos y sgwrs allanol yn gadael y rhyngwyneb y bwriedech, gyda’r cyfeiriad ffynhonnell a ddisgwylir. Dylai’r ail ddangos y sgwrs fewnol unwaith, heb ei dyblygu, gyda chyfeiriad y cleient yn ffynhonnell a gweinydd y cymhwysiad yn gyrchfan. Mae’r chwiliad llwybr yn cadarnhau pa dabl y byddai’r llwybrydd yn ei ddefnyddio ar gyfer y pâr ffynhonnell a chyrchfan hwnnw, a dyna lle mae camgymeriad polisi fel arfer yn ymddangos. Os na fydd un o’r cipiadau yn ymddangos, mae’r pwynt penderfynu yn rhywle arall ac nid lle y cafodd y rheol ei hatodi, ac mae’r cywiriad yn perthyn yno yn hytrach nag mewn gydweddiad ehangach.