Πώς να σχεδιάσετε ένα σύνολο διευθύνσεων πελατών VPN που ταιριάζει

Ξεκινήστε στο πεδίο του συνόλου στον διακομιστή VPN, όχι σε ένα υπολογιστικό φύλλο. Ό,τι πληκτρολογήσετε εκεί γίνεται ο εσωτερικός χώρος διευθύνσεων για κάθε πελάτη που συνδέεται μετά, και πρέπει να συνυπάρχει με το LAN που προσεγγίζουν αυτοί οι πελάτες, τις δρομολογημένες τοποθεσίες πίσω του και οποιαδήποτε διεύθυνση κρατά ήδη ο πελάτης στο σπίτι. Συνδέστε έναν πελάτη μόλις αποθηκευτεί το σύνολο, γιατί αυτή η πρώτη σύνδεση σας λέει αν η τιμή λειτουργεί στην πράξη. Από εκεί η περιήγηση κινείται προς τα έξω: η διεύθυνση που έλαβε ο πελάτης, η διαδρομή που ακολουθεί μια απάντηση και η εγγραφή που αφήνετε πίσω σας.

Ξεκινήστε στο πεδίο του συνόλου, πριν συνδεθεί οποιοσδήποτε πελάτης

Κάθε προϊόν το εκθέτει διαφορετικά, οπότε βρείτε το αντικείμενο που πραγματικά εκχωρεί διευθύνσεις. Το OpenVPN έχει μια οδηγία συνόλου στην πλευρά του διακομιστή που δίνει την επόμενη ελεύθερη διεύθυνση, μια πύλη IKEv2 έχει μια ενότητα συνόλου δεσμευμένη στη διαμόρφωση του ομολόγου, και το WireGuard δεν έχει καμία από τις δύο επειδή κάθε ομόλογο φέρει τη δική του διεύθυνση στο αρχείο διαμόρφωσής του. Μια οδηγία συνόλου και μια διεύθυνση ανά ομόλογο δεν είναι εναλλάξιμες, και η επεξεργασία της λάθος σπαταλά το υπόλοιπο της περιήγησης.

Όταν έχετε το πεδίο, καταγράψτε τα εύρη που υπάρχουν ήδη: το LAN του γραφείου, κάθε δρομολογημένη τοποθεσία, το VPC του νέφους και οποιοδήποτε άλλο σύνολο είναι ακόμη σε λειτουργία. Η επικάλυψη κρίνεται με αριθμητική προθέματος, όχι με το αν οι αριθμοί κεντρικών υπολογιστών φαίνονται γνώριμοι, οπότε συγκρίνετε το άθροισμα με καθένα από αυτά τα εύρη. Δύο εύρη που και τα δύο μοιάζουν με 10.x είναι ακίνδυνα όταν τα αθροίσματά τους δεν τέμνονται και περιστατικό υποστήριξης όταν τέμνονται.

Στη συνέχεια αποφασίστε αν η διεύθυνση είναι συνάρτηση του ποιος συνδέεται ή του πότε συνδέονται. Η δυναμική εκχώρηση δίνει ό,τι είναι ελεύθερο, ενώ η εκχώρηση ανά ταυτότητα δεσμεύει μια σταθερή διεύθυνση σε ένα διαπιστευτήριο. Γράψτε την επιλογή, γιατί αλλάζει το πώς πρέπει να μοιάζει αργότερα μια επανασύνδεση.

Διαβάστε τη διεύθυνση που έλαβε πραγματικά ο πελάτης

Συνδέστε έναν πελάτη και διαβάστε τι αναφέρει η σήραγγα, όχι τι υποσχέθηκε το σύνολο. Ο πελάτης δείχνει την εσωτερική του διεύθυνση στην κατάσταση σύνδεσης, και στο Linux η διεπαφή τη φέρει απευθείας.

Συγκρίνετε αυτή τη διεύθυνση με το εύρος που αποθηκεύσατε. Αν βρίσκεται έξω από το εύρος, βλέπετε διαφορετική διαδρομή εκχώρησης από αυτή που επεξεργαστήκατε. Ελέγξτε και το μήκος του προθέματος, αφού ένας πελάτης με /32 δεν έχει ομόλογο στον σύνδεσμο και στέλνει κάθε προορισμό μέσω της προεπιλεγμένης διαδρομής του.

ip -4 addr show tun0
ip route get 192.168.50.20

Ένας πελάτης που συνδέεται από οικιακό δρομολογητή με το ίδιο εύρος θα συνδεθεί και μετά θα φτάσει σχεδόν σε τίποτα. Ο πελάτης κρατά την τοπική του διαδρομή για αυτό το πρόθεμα, οπότε η διεύθυνση της σήραγγας συγκρούεται με το δίκτυο πίσω της και η κίνηση φεύγει από τη λάθος διεπαφή. Αυτή η περίπτωση δεν επιδιορθώνεται στον διακομιστή· το τεκμηριωμένο μέσο είναι η επαναρίθμηση του οικιακού δικτύου ή η επιλογή εύρους συνόλου αρκετά απομακρυσμένου ώστε οι συγκρούσεις να παραμένουν σπάνιες. Καταγράψτε και την αποτυχία και το μέσο, γιατί ο πάγκος βοήθειας θα το συναντήσει ξανά.

Επανασυνδέστε τον ίδιο πελάτη και παρακολουθήστε τη διεύθυνση. Ένα δυναμικό σύνολο μπορεί να επιστρέψει την ίδια τιμή ή μια διαφορετική και και οι δύο είναι σωστές, ενώ ένα σύνολο ανά ταυτότητα που αλλάζει τη διεύθυνση δεν τηρεί τη δέσμευση. Αυτός ο έλεγχος διαρκεί δευτερόλεπτα και αποφασίζει αν η λειτουργία που καταγράψατε στην πρώτη ενότητα είναι η λειτουργία σε ισχύ.

Ακολουθήστε μια απάντηση προς τα πίσω από την υπηρεσία

Το σύνολο λειτουργεί μόνο όταν οι απαντήσεις μπορούν να ταξιδέψουν πίσω σε αυτό. Μια υπηρεσία στο LAN απαντά στην εσωτερική διεύθυνση, οπότε η πύλη της χρειάζεται διαδρομή για το σύνολο ή μετάφραση μπροστά από την υπηρεσία. Όταν ένα αίτημα φτάνει μέσω της σήραγγας και η απάντηση φεύγει από άλλη διαδρομή, ένα τείχος προστασίας με κατάσταση ή ένας έλεγχος αντίστροφης διαδρομής την απορρίπτει, και ο πελάτης βλέπει μια υπηρεσία που συνδέεται και μετά κολλάει. Βάλτε το σύνολο στον σχεδιασμό δρομολόγησης ως ένα συνοψίσιμο μπλοκ αντί να προσθέτετε διαδρομές ανά κεντρικό υπολογιστή.

Η μετάφραση αλλάζει το τι βλέπει το υπόλοιπο σύστημα. Όταν η πηγή ξαναγράφεται, η διεύθυνση στο τείχος προστασίας του κεντρικού υπολογιστή και στο αρχείο καταγραφής της εφαρμογής είναι η μεταφρασμένη, οπότε ένας κανόνας γραμμένος με βάση τη διεύθυνση του συνόλου δεν ταιριάζει με τίποτα και μια γραμμή καταγραφής δεν μπορεί να ιχνηλατηθεί σε έναν πελάτη. Η τεκμηρίωση προώθησης του strongSwan καλύπτει το μισό της πλευράς του διακομιστή αυτής της διαδρομής για μια πύλη IKEv2. Το DNS φέρει τον ίδιο περιορισμό, γιατί ένα όνομα που επιλύεται σε διεύθυνση που ο πελάτης δεν μπορεί να φτάσει αποτυγχάνει αργότερα και αλλού.

Δύο πελάτες, μετά μία ανάκληση

Συνδέστε δύο πελάτες ταυτόχρονα και διαβάστε και τις δύο διευθύνσεις. Πρέπει να είναι διακριτές, χρησιμοποιήσιμες και μέσα στο σύνολο, και καθεμία πρέπει να φτάνει την υπηρεσία για την οποία προορίζεται. Ένα σύνολο που δίνει διπλές διευθύνσεις συνήθως εμφανίζεται εδώ και όχι στην πρώτη δοκιμή με έναν πελάτη.

Ανακαλέστε ένα διαπιστευτήριο ενώ ο άλλος πελάτης παραμένει συνδεδεμένος, και μετά δοκιμάστε την υπηρεσία από τον πελάτη που επέζησε. Μια ανάκληση που διαταράσσει την άλλη συνεδρία δείχνει κοινόχρηστη κατάσταση, πιο συχνά ένα διαπιστευτήριο ή μία διεύθυνση που επαναχρησιμοποιείται μεταξύ συσκευών. Επανασυνδέστε τον ανακληθέντα πελάτη και επιβεβαιώστε ότι απορρίπτεται αντί να του δοθεί η ελευθερωμένη διεύθυνση.

Τελειώστε με έναν προορισμό που θα έπρεπε να απορρίπτεται. Ένας πελάτης που φτάνει τα πάντα έχει συνδεθεί, όχι δοκιμαστεί.

Γράψτε τις τέσσερις τιμές εκεί όπου θα τις βρει η επόμενη αλλαγή

Η εγγραφή είναι σύντομη: το εύρος και το πρόθεμα του συνόλου, η λειτουργία εκχώρησης, η διαδρομή επιστροφής ή η μετάφραση σε χρήση και το εύρος DNS που απαντά για αυτούς τους προορισμούς. Βάλτε την δίπλα στη διαμόρφωση του διακομιστή και όχι σε ένα δελτίο, και βάλτε ημερομηνία. Όποιος αλλάξει αργότερα μία από τις τέσσερις χρειάζεται τις άλλες τρεις μπροστά του, γιατί μια αλλαγή μεγέθους του συνόλου σπάει τη διαδρομή και μια αλλαγή διαδρομής σπάει την απάντηση DNS.

Κρατήστε μαζί της τη σημείωση ιδιοκτησίας: το εύρος της σήραγγας ανήκει στον διακομιστή VPN, και μια δέσμευση που έγινε στο εύρος DHCP του LAN δεν δεσμεύει τίποτα για έναν πελάτη μέσα στη σήραγγα. Αυτή η μία γραμμή αποτρέπει την πιο συχνή επανεργασία, όπου κάποιος προσθέτει μια δέσμευση και περιμένει η διεύθυνση της σήραγγας να την ακολουθήσει.