Ποιο πακέτο πρέπει να ταιριάζει μια πολιτική VPN με δύο WAN;

Τα αιτήματα να δρομολογηθεί το VPN μέσω της δεύτερης ζεύξης ανόδου περιγράφουν τουλάχιστον δύο διαφορετικές εργασίες, και η πολιτική που διορθώνει τη μία δεν αγγίζει την άλλη. Στην πρώτη εργασία η κρυπτογραφημένη μεταφορά μεταξύ δύο άκρων μετακινείται σε άλλη διεύθυνση WAN. Στη δεύτερη η αποκρυπτογραφημένη ροή εφαρμογής ενός συνδεδεμένου χρήστη εξέρχεται προς άλλο επόμενο άλμα. Και οι δύο είναι νόμιμες, και οι δύο χρησιμοποιούν δρομολόγηση, και καθεμία χρειάζεται αντιστοίχιση σε ένα πακέτο που υπάρχει στο σημείο όπου λαμβάνεται η απόφαση. Περάστε τους ελέγχους παρακάτω με τη σειρά, αφού ο πρώτος καθορίζει ποιο πακέτο πρέπει να ονομάσουν οι επόμενοι κανόνες.

Ονομάστε τις δύο συνομιλίες

Φανταστείτε έναν απομακρυσμένο εργαζόμενο συνδεδεμένο σε πύλη γραφείου, που ανοίγει HTTPS προς έναν εσωτερικό διακομιστή εφαρμογών. Υπάρχουν δύο ανεξάρτητες συνομιλίες στο καλώδιο, και έχουν διαφορετικές διευθύνσεις σε κάθε άκρο. Η εξωτερική συνομιλία τρέχει μεταξύ των δύο άκρων του VPN: από τη διεύθυνση της πύλης στη διεύθυνση του ομότιμου, με όποιο πρωτόκολλο και θύρα διαπραγματεύτηκε η ανάπτυξη. Η εσωτερική συνομιλία τρέχει από τη διεύθυνση που εκχωρήθηκε στον πελάτη στη διεύθυνση του διακομιστή εφαρμογών στη θύρα 443.

Η θύρα προορισμού της εφαρμογής δεν είναι η θύρα μεταφοράς του VPN, και καμία ποσότητα πολιτικής στο TCP 443 δεν θα μετακινήσει τη σήραγγα. Ομοίως, ένας κανόνας που ανακατευθύνει τη διεύθυνση μεταφοράς του ομότιμου δεν λέει τίποτα για το πού πηγαίνει το αίτημα HTTP αυτού του χρήστη μετά την αποκρυπτογράφηση. Καταγράψτε και τις δύο συνομιλίες με τις πραγματικές τους διευθύνσεις πριν αγγίξετε κανόνα, γιατί η περισσότερη σύγχυση σε αυτόν τον τομέα προέρχεται από το να ονομάζει κανείς τη μία και να ρυθμίζει την άλλη.

Βρείτε πού μπορεί πραγματικά η πολιτική σας να δει το πακέτο

Η αντιστοίχιση πρέπει να αξιολογείται στην αλυσίδα και στον χώρο ονομάτων όπου το πακέτο είναι ακόμη στη μορφή που περιγράψατε. Ένας κανόνας προσαρτημένος στην είσοδο LAN βλέπει το εσωτερικό πακέτο χωρίς κρυπτογράφηση, πριν δρομολογηθεί προς τη σήραγγα. Ένας κανόνας που εφαρμόζεται σε τοπικά παραγόμενη κίνηση βλέπει πακέτα που παράγει η ίδια η πύλη, και δεν καλύπτει αυτόματα την κίνηση που η πύλη απλώς προωθεί. Η ενθυλακωμένη έξοδος είναι πάλι τρίτη περίπτωση, που συνήθως χειρίζεται στη διεπαφή που μεταφέρει τη σήραγγα και όχι στην πλευρά του LAN.

Γι αυτό το ίδιο απόσπασμα διαμόρφωσης συμπεριφέρεται διαφορετικά σε δύο πλατφόρμες: τα σημεία προσάρτησης διαφέρουν, και το άγκιστρο πολιτικής ενός προμηθευτή μπορεί να βρίσκεται πριν ή μετά το βήμα κρυπτογράφησης. Διαβάστε τη διαδρομή του πακέτου για το συγκεκριμένο προϊόν αντί να υποθέτετε τη σειρά από το διάγραμμα άλλου προμηθευτή.

Επιβεβαιώστε τη μεταφορά που διαπραγματευτήκατε

Για IPsec ενθυλακωμένο σε UDP, το RFC 3948 τοποθετεί το ESP μέσα στο UDP και χρησιμοποιεί δείκτη που δεν είναι ESP ώστε το IKE να παραμένει διακριτό στην κοινή θύρα. Το απλό ESP είναι πρωτόκολλο IP, όχι θύρα TCP ή UDP, επομένως ένας κανόνας τείχους προστασίας γραμμένος με αριθμό θύρας δεν θα το αντιστοιχίσει καθόλου. Αυτή η διάκριση καθορίζει αν η πολιτική WAN σας χρειάζεται κανόνα UDP, κανόνα πρωτοκόλλου ή και τα δύο.

Οι διαπραγματευμένες τιμές κερδίζουν τις θυμημένες. Διαβάστε τις τρέχουσες θύρες και διευθύνσεις της συσχέτισης από τη συσκευή αντί να προσθέτετε TCP 4500 ή παλιά θύρα προμηθευτή για παν ενδεχόμενο, που συλλαμβάνει άσχετη κίνηση και κρύβει το πραγματικό πρόβλημα ταξινόμησης.

Ελέγξτε τη διαδρομή επιστροφής πριν δεσμευτείτε

Η επιτυχία προς τα έξω αποδεικνύει το μισό ενός σχεδίου. Ένα πακέτο που επιστρέφει προς τη δεξαμενή απομακρυσμένων πελατών δεν είναι πλέον ορατό με τη διεύθυνση του πελάτη μόλις η ενθυλάκωση την αντικαταστήσει: ο εξωτερικός προορισμός είναι η διεύθυνση μεταφοράς του ομότιμου. Αν η δεύτερη ζεύξη φτάνει σε αυτόν τον ομότιμο μέσω άλλου παρόχου, η μετάφραση και το φιλτράρισμά της μπορεί να διαφωνούν με της πρώτης, και η συσχέτιση μπορεί να χρειάζεται ανοικοδόμηση αντί για μετάβαση.

Η κατάσταση μετάφρασης διευθύνσεων δικτύου είναι το συνηθισμένο θύμα μιας αλλαγής WAN. Καταγράψτε τη ζεύξη που επιλέχθηκε, την αναμενόμενη εξωτερική διεύθυνση προέλευσης, τη μετάφραση που χρησιμοποιείται και την προσβασιμότητα του ομότιμου πίσω σε αυτήν, και μετά κρατήστε τη μεταφορά προσβάσιμη χωρίς να τη στείλετε στη σήραγγα που μεταφέρει.

Επαληθεύστε και τα δύο επίπεδα με δύο καταγραφές

Μία καταγραφή στη διεπαφή WAN και μία μέσα στη σήραγγα λύνουν το ερώτημα γρηγορότερα από κάθε σύγκριση διαμόρφωσης. Εκτελέστε τις από την πύλη όσο ένας εγκεκριμένος πελάτης κάνει ένα μόνο αίτημα, και κρατήστε και τα δύο αρχεία.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Η πρώτη καταγραφή πρέπει να δείχνει την εξωτερική συνομιλία να φεύγει από τη διεπαφή που σκοπεύατε, με την αναμενόμενη διεύθυνση προέλευσης. Η δεύτερη πρέπει να δείχνει την εσωτερική συνομιλία μία φορά, χωρίς διπλοεγγραφή, με τη διεύθυνση του πελάτη ως προέλευση και τον διακομιστή εφαρμογών ως προορισμό. Η αναζήτηση διαδρομής επιβεβαιώνει ποιον πίνακα θα χρησιμοποιούσε ο δρομολογητής για αυτό το ζεύγος προέλευσης και προορισμού, και εκεί εμφανίζεται συνήθως ένα λάθος πολιτικής. Αν κάποια καταγραφή δεν εμφανιστεί, το σημείο απόφασης είναι κάπου αλλού από εκεί όπου προσαρτήθηκε ο κανόνας, και η διόρθωση ανήκει εκεί και όχι σε ευρύτερη αντιστοίχιση.