Επέκταση τοποθεσίας VPN: ακολουθήστε τη διαδρομή επιστροφής πέρα από την πύλη

Η κίνηση από ένα υποκατάστημα καταλήγει σε μια πύλη της οποίας το LAN δεν περιέχει την εφαρμογή που σας ζητήθηκε να προσεγγίσετε. Ο διακομιστής βρίσκεται σε ένα δεύτερο κέντρο δεδομένων, πέρα από μια εσωτερική ζεύξη που το VPN δεν διαμόρφωσε ποτέ. Η προσθήκη ενός ακόμη προθέματος στην κοντινή πύλη δεν κάνει τίποτα για αυτή την περίπτωση, επειδή η απομακρυσμένη πύλη είναι τελικό σημείο κρυπτογράφησης και όχι ο τελευταίος δρομολογητής. Η διαδρομή χρειάζεται μια δρομολόγηση προς τα εμπρός, μια αποδοχή στο απομακρυσμένο όριο ασφαλείας και μια απόφαση επιστροφής στο ίδιο το δίκτυο του προορισμού.

Η απομακρυσμένη πύλη είναι τελικό σημείο κρυπτογράφησης

Το IPsec πύλης προς πύλη προστατεύει την κίνηση μεταξύ δύο συσκευών ασφαλείας, και οι εσωτερικές διευθύνσεις ταξιδεύουν κρυπτογραφημένες σε αυτό το τμήμα. Πέρα από την απομακρυσμένη πύλη αναλαμβάνει η συνήθης δρομολόγηση, συμπεριλαμβανομένης οποιασδήποτε πολιτικής υπάρχει μεταξύ κέντρων δεδομένων. Το προστατευμένο τμήμα καλύπτει επομένως μέρος της διαδρομής και όχι το υπόλοιπο. Το να υποθέσει κανείς το αντίθετο είναι ο τρόπος με τον οποίο ένας σχεδιασμός καταλήγει με υγιή σήραγγα και μη προσπελάσιμη εφαρμογή.

Σχεδιάστε τη διαδρομή σε τρία μέρη: υποκατάστημα προς κοντινή πύλη, κοντινή προς απομακρυσμένη πύλη, απομακρυσμένη πύλη προς την εφαρμογή. Κάθε μέρος έχει τον δικό του υπεύθυνο και τον δικό του τρόπο αποτυχίας.

Διαβάστε τις δύο κατευθύνσεις της πολιτικής σήραγγας

Η πολιτική σήραγγας γράφεται συνήθως από την οπτική της τοπικής πλευράς, και από αυτή τη συνήθεια προέρχονται οι μερικές διαμορφώσεις. Και οι δύο ομότιμοι πρέπει να καταγράφουν την πηγή του υποκαταστήματος και τον προορισμό όπως θα εμφανιστούν μέσα στη σήραγγα, συμπεριλαμβανομένης οποιασδήποτε μετάφρασης που προβλέπει ο σχεδιασμός. Η ενημέρωση μόνο του κοντινού άκρου παράγει αναντιστοιχία δεύτερης φάσης που μοιάζει με αποτυχία δρομολόγησης. Συγκρίνετε τα δύο σύνολα πολιτικής πριν αγγίξετε οποιαδήποτε διαδρομή.

Γράψτε πηγή και προορισμό ως διευθύνσεις και όχι ως ονόματα τοποθεσιών. Η ασάφεια εδώ επανεμφανίζεται αργότερα ως αινιγματική ασυμμετρία.

Προσθέστε τη διαδρομή προς τα εμπρός και επιβεβαιώστε την αποδοχή

Η απομακρυσμένη πύλη χρειάζεται διαδρομή προς το υποδίκτυο της εφαρμογής, και κάθε δρομολογητής μεταξύ τους πρέπει να επιτρέπει την πηγή του υποκαταστήματος. Επαληθεύστε τι έχει πραγματικά η απομακρυσμένη πύλη αντί για το τι ισχυρίζεται το διάγραμμα.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Η πρώτη εντολή αναφέρει τη διεπαφή εξόδου και το επόμενο άλμα που θα επέλεγε η απομακρυσμένη πύλη για αυτή την πηγή, κάτι που ένας συνηθισμένος πίνακας δρομολόγησης δεν μπορεί να απαντήσει. Η ιχνηλάτηση δείχνει πού σταματούν τα πακέτα, και μια διακοπή μετά την απομακρυσμένη πύλη υποδεικνύει εσωτερική διέλευση και όχι τη σήραγγα. Όταν η διαδρομή υπάρχει και η κίνηση εξακολουθεί να εξαφανίζεται, καταγράψτε στην απομακρυσμένη πύλη και διαβάστε τη διεύθυνση πηγής που φτάνει, γιατί μια απρόσμενη διεύθυνση σημαίνει ότι η μετάφραση γίνεται κάπου απρογραμμάτιστα. Όλες οι διευθύνσεις εδώ είναι σύμβολα, οπότε αντικαταστήστε τα πραγματικά υποδίκτυα υποκαταστήματος, διέλευσης και εφαρμογής.

Δοκιμάστε από το υποκατάστημα και μετά δοκιμάστε ξανά την παλιά διαδρομή

Η αποδοχή χρειάζεται πραγματική πηγή και όχι ανίχνευση από την απομακρυσμένη πύλη. Εκτελέστε τον έλεγχο από κεντρικό υπολογιστή του υποκαταστήματος και κρατήστε τους προορισμούς που λειτουργούσαν ήδη στην ίδια δοκιμή.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Η απάντηση από την εφαρμογή αποδεικνύει μαζί τη διαδρομή προς τα εμπρός και τη διαδρομή επιστροφής, ενώ το ping στον παλιό προορισμό αποδεικνύει ότι η αλλαγή δεν έσπασε ό,τι ήδη λειτουργούσε. Καταγράψτε τη διεύθυνση πηγής που καταγράφει η εφαρμογή, γιατί οι κανόνες πρόσβασής της και οποιαδήποτε διαδρομή επιστροφής πρέπει να ταιριάζουν με αυτή την τιμή. Όπου το υποκατάστημα μεταφράζει πριν από τη σήραγγα, η διεύθυνση της πολιτικής και η διεύθυνση που βλέπει η εφαρμογή διαφέρουν εκ σχεδιασμού, οπότε καταγράψτε και τις δύο. Επαναλάβετε τη δοκιμή μετά από ανανέωση κλειδιού ή αλλαγή δρομολόγησης, γιατί αυτές οι διαδρομές συνήθως επικυρώνονται μία φορά και μετά ξεχνιούνται.

Αναθέστε έναν υπεύθυνο σε καθένα από τα τρία τμήματα και στη διαδρομή επιστροφής μέσα στο δίκτυο του προορισμού. Μια διαδρομή με τέσσερις υπευθύνους αποτυγχάνει στα κενά μεταξύ τους.