Pwy sydd mewn gwirionedd yn ateb ar gyfeiriad pwrpasol y VPN?

Nid yw cyfeiriad sy'n gorwedd heb ei ddefnyddio yn nyranniad y sefydliad yn wrandawr, ac nid yw ei ychwanegu at fur gwrth-dân yn creu un. Rhaid i rywbeth derfynu IKE ar y cyfeiriad hwnnw, ac mae'r mecanwaith yn wahanol yn dibynnu a yw'r porth yn berchen ar y cyfeiriad ai dyfais lanlif yn ei gyfieithu. Llwybr y pecyn sy'n gwahaniaethu rhwng y ddau, ac ef sy'n penderfynu pa nodwedd llwyfan sydd ei hangen arnoch cyn i unrhyw un agor cais newid. Modelwch y llwybr yn gyntaf, yna dewiswch.

Llwybr y pecyn y tu ôl i'r cyfeiriad

Mae cymar yn anfon IKE at y cyfeiriad a roddwyd iddo, ar UDP 500 neu ar UDP 4500 pan fo tramwyo NAT dan sylw. Pa bynnag ddyfais sy'n dal y cyfeiriad hwnnw ar y llwybr, mae naill ai'n derbyn y datagram yn lleol ac yn ei ateb, neu'n ei anfon ymlaen i rywle arall. Dyna'r unig ddau bosibilrwydd, ac mae popeth arall yn yr erthygl hon yn dilyn o ba un sy'n wir.

Mae derbyn yn lleol yn golygu bod soced yn bodoli ar y ddyfais honno, wedi'i rwymo i'r cyfeiriad hwnnw. Mae anfon ymlaen yn golygu bod y datagram yn cael ei ailysgrifennu a'i anfon ymlaen i bwynt terfyn arall, sydd wedyn yn dal y soced. Nid yw rheol mur gwrth-dân sy'n caniatáu UDP 500 yn dweud dim i chi am ba un o'r ddau sy'n digwydd.

Ysgrifennwch y cofnod cyn i chi gyffwrdd ag unrhyw beth: y cyfeiriad y mae cymheiriaid yn cysylltu ag ef, sut mae'r rhwydwaith lanlif yn ei ddanfon, y rhyngwyneb lleol neu'r pwynt terfyn rhesymegol sy'n ei dderbyn, a'r broses sy'n ateb IKE. Pedair llinell, a gellir gwirio pob un. Pan fo un ohonynt yn anhysbys, y peth anhysbys hwnnw yw'r gwaith dylunio yn hytrach na manylion gweithredu i'w setlo'n ddiweddarach. Llenwi'r llinellau ar ôl cymeradwyo'r cais newid yw sut mae rheol gyfieithu yn cael ei hychwanegu at y ddyfais anghywir.

Model A: y porth sy'n berchen ar y cyfeiriad

Yn y model cyntaf mae'r porth ei hun yn dal y cyfeiriad, naill ai fel cyfeiriad eilaidd ar ryngwyneb presennol, fel cyfeiriad ar ryngwyneb pwrpasol, neu fel loopback y mae'r llwyfan yn ei gefnogi fel pwynt terfyn twnnel. Mae'r rhain yn dair nodwedd wahanol gyda thri llwybr cyflunio gwahanol, ac efallai na fydd llwyfan sy'n cefnogi un yn cefnogi'r lleill.

Cadarnhewch fod y llwyfan a'r rhyddhau yn cefnogi'r union drefniant cyn dylunio o'i gwmpas. Nid yw bloc wedi'i lwybreiddio, cyfeiriad ychwanegol ar ryngwyneb, a phwynt terfyn loopback yn gyfnewidiol, ac nid yw dogfennaeth un rhyddhau yn addo y bydd yr un nesaf yn ymddwyn yr un fath.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Y soced sy'n gwrando yw'r prawf. Os nad oes dim wedi'i rwymo i'r cyfeiriad, nid y porth yw'r terfynydd waeth beth mae'r tabl llwybreiddio yn ei ddweud, a bydd cipio pecynnau yn dangos y datagramau yn cyrraedd heb ddim yn eu hateb.

Peidiwch â rhoi ail ryngwyneb mewn is-rwydwaith sy'n bodoli eisoes yn rhywle arall yn y topoleg a thybio y bydd y llwyfan yn ei ddatrys. Mae is-rwydweithiau rhyngwyneb sy'n gorgyffwrdd yn cynhyrchu dewis ffynhonnell amwys ac, ar lawer o lwyfannau, gwrthodiad i gyflunio o gwbl.

Model B: dyfais lanlif yn ei gyfieithu

Yn yr ail fodel mae mur gwrth-dân lanlif yn dal y cyfeiriad pwrpasol ac yn anfon y traffig ymlaen at borth VPN gwahanol. Cyfieithiad cyrchfan gyda llwybr dychwelyd yw hwnnw, ac mae'n ddyluniad hollol ddilys cyhyd ag y caiff ei ddogfennu felly.

Yr hyn nad yw yw tystiolaeth bod y ddyfais lanlif wedi cael soced VPN lleol. Mae'r gyfieithiad yn anfon pecynnau ymlaen; nid yw'n gwneud y blwch lanlif yn atebwr IKE. Os tynnir y rheol lanlif neu os torrir ei llwybr dychwelyd, mae'r VPN yn stopio hyd yn oed os yw'r porth yn iach a'i wrandawyr ei hun yn gyfan.

Cofnodwch y ddau gyfeiriad: yr un y mae cymheiriaid yn cysylltu ag ef a'r un y mae'r porth yn ei weld mewn gwirionedd. Yna cofnodwch y cludiant a'r llwybr dychwelyd, oherwydd bydd cyfieithiad sy'n gweithio ar gyfer UDP 500 ond nid ar gyfer ESP wedi'i gapsiwleiddio yn cysylltu ac yna'n methu â chludo traffig, sy'n fethiant ddryslyd i'w ddadfygio yn ddiweddarach.

Nid hunaniaeth yw'r cyfeiriad allanol

Mae IPsec yn gwahanu pwynt terfyn y twnnel oddi wrth y traffig y mae'n ei amddiffyn, ac mae'r bensaernïaeth yn cadw'r penderfyniadau hynny mewn gwahanol leoedd. Nid yw newid y cyfeiriad y mae cymheiriaid yn cysylltu ag ef yn newid yn awtomatig pa ragddodiadau mewnol a ganiateir, pa lwybrau a osodir, na pha adnoddau y gall y sesiwn eu cyrraedd.

Mae'r hunaniaeth ddilysedig ar wahân eto. Mae IKEv2 yn cario llwyth hunaniaeth a chyfnewid dilysu nad oes rhaid iddynt gyd-fynd â chyfeiriad pecyn allanol, a dyna'n union pam y gall dyluniad cyfieithiedig ddilysu'n gywir o hyd.

Mae'r annibyniaeth honno'n ddefnyddiol ac yn fagl hefyd. Nid yw dau enw DNS sy'n datrys i un gwrandawr cyffredin yn dewis gwahanol gefnflaenau VPN, ac ni fydd tystysgrif sy'n enwi un hunaniaeth yn bodloni cymar sy'n disgwyl un arall. Cadarnhewch beth mae'r cymar yn ei ddilysu cyn tybio mai'r cyfeiriad yn unig sy'n penderfynu hynny.

Derbyniwch y dyluniad drwy wylio un cysylltiad

Archwiliwch i ble y mae cysylltiad awdurdodedig newydd yn cael ei ddanfon mewn gwirionedd, pa hunaniaeth sy'n ateb, a pha lif preifat sy'n cael ei ganiatáu wedyn. Tri arsylwad, tair haen wahanol, ac nid yw chwiliad cyhoeddus llwyddiannus o'r cyfeiriad yn profi'r un ohonynt.

Cadwch yr achos negyddol hefyd: cymar na ddylid ei dderbyn, neu ragddodiad mewnol na ddylid ei gyrraedd, wedi'i wirio ar ôl y newid. Y cofnod a ysgrifennwyd gennych ar y dechrau sy'n gwneud y prawf hwnnw'n bosibl heb ail-greu'r dyluniad o'r cof.

Pwynt hyn i gyd yw gadael i berchennog y rhwydwaith ddewis dull dyrannu a gefnogir yn hytrach na dibynnu ar haeriad cyffredinol am yr hyn y gall pob mur gwrth-dân ei wneud gyda chyfeiriad ychwanegol. Yr haeriad hwnnw yw'n union lle mae'r dyluniadau hyn yn mynd o chwith, oherwydd mae'n swnio'n gredadwy ar bob llwyfan ac yn anwir ar un ohonynt yn gyffredinol. Mae'r cofnod pedair llinell yn setlo hynny ar gyfer eich llwyfan mewn deng munud.