Ποιος απαντά στην πραγματικότητα στην αποκλειστική διεύθυνση του VPN;

Μια διεύθυνση που μένει αχρησιμοποίητη στο απόθεμα του οργανισμού δεν είναι ακροατής, και η προσθήκη της σε ένα τείχος προστασίας δεν δημιουργεί κανέναν. Κάτι πρέπει να τερματίζει το IKE σε αυτή τη διεύθυνση, και ο μηχανισμός διαφέρει ανάλογα με το αν η πύλη κατέχει τη διεύθυνση ή αν τη μεταφράζει μια συσκευή ανάντη. Η διαδρομή του πακέτου είναι αυτό που ξεχωρίζει τις δύο περιπτώσεις, και καθορίζει ποια λειτουργία της πλατφόρμας χρειάζεστε πριν ανοίξει κανείς αίτημα αλλαγής. Μοντελοποιήστε πρώτα τη διαδρομή και μετά επιλέξτε.

Η διαδρομή του πακέτου πίσω από τη διεύθυνση

Ένας ομότιμος στέλνει IKE στη διεύθυνση που του δόθηκε, στο UDP 500 ή στο UDP 4500 όταν παίζει διάσχιση NAT. Όποια συσκευή κρατά αυτή τη διεύθυνση στη διαδρομή, είτε λαμβάνει το αυτοδύναμο πακέτο τοπικά και απαντά σε αυτό, είτε το προωθεί κάπου αλλού. Αυτές είναι οι μόνες δύο δυνατότητες, και όλα τα υπόλοιπα σε αυτό το άρθρο προκύπτουν από το ποια είναι αληθινή.

Τοπική λήψη σημαίνει ότι σε αυτή τη συσκευή υπάρχει μια υποδοχή δεσμευμένη σε αυτή τη διεύθυνση. Η προώθηση σημαίνει ότι το πακέτο ξαναγράφεται και στέλνεται προς άλλο τελικό σημείο, το οποίο τότε έχει την υποδοχή. Ένας κανόνας τείχους προστασίας που επιτρέπει το UDP 500 δεν σας λέει τίποτα για το ποια από τις δύο συμβαίνει.

Γράψτε το αρχείο πριν αγγίξετε οτιδήποτε: τη διεύθυνση με την οποία επικοινωνούν οι ομότιμοι, πώς την παραδίδει το ανάντη δίκτυο, την τοπική διεπαφή ή το λογικό τελικό σημείο που τη λαμβάνει, και τη διεργασία που απαντά στο IKE. Τέσσερις γραμμές, και καθεμία μπορεί να ελεγχθεί. Όταν μία από αυτές είναι άγνωστη, αυτό το άγνωστο είναι η δουλειά σχεδιασμού και όχι λεπτομέρεια υλοποίησης προς επίλυση αργότερα. Το να τις συμπληρώσετε αφού εγκριθεί το αίτημα αλλαγής είναι ο τρόπος με τον οποίο ένας κανόνας μετάφρασης καταλήγει στη λάθος συσκευή.

Μοντέλο A: η πύλη κατέχει τη διεύθυνση

Στο πρώτο μοντέλο η πύλη κρατά η ίδια τη διεύθυνση, είτε ως δευτερεύουσα διεύθυνση σε υπάρχουσα διεπαφή, είτε ως διεύθυνση σε αποκλειστική διεπαφή, είτε ως loopback που η πλατφόρμα υποστηρίζει ως τελικό σημείο σήραγγας. Αυτά είναι τρία διαφορετικά χαρακτηριστικά με τρεις διαφορετικές διαδρομές διαμόρφωσης, και μια πλατφόρμα που υποστηρίζει το ένα μπορεί να μην υποστηρίζει τα άλλα.

Επιβεβαιώστε ότι η πλατφόρμα και η έκδοση υποστηρίζουν ακριβώς αυτή τη διάταξη πριν σχεδιάσετε γύρω της. Ένα δρομολογημένο μπλοκ, μια πρόσθετη διεύθυνση σε διεπαφή και ένα τελικό σημείο loopback δεν είναι εναλλάξιμα, και η τεκμηρίωση μιας έκδοσης δεν υπόσχεται ότι η επόμενη θα συμπεριφέρεται το ίδιο.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Η υποδοχή που ακούει είναι η απόδειξη. Αν τίποτα δεν είναι δεσμευμένο στη διεύθυνση, η πύλη δεν είναι ο τερματιστής ανεξάρτητα από το τι λέει ο πίνακας δρομολόγησης, και η σύλληψη πακέτων θα δείξει τα πακέτα να φτάνουν χωρίς τίποτα να τους απαντά.

Μην τοποθετείτε δεύτερη διεπαφή σε υποδίκτυο που υπάρχει ήδη αλλού στην τοπολογία και μην υποθέτετε ότι η πλατφόρμα θα το τακτοποιήσει. Τα επικαλυπτόμενα υποδίκτυα διεπαφών παράγουν αμφίσημη επιλογή πηγής και, σε πολλές πλατφόρμες, άρνηση διαμόρφωσης εντελώς.

Μοντέλο B: μια ανάντη συσκευή τη μεταφράζει

Στο δεύτερο μοντέλο ένα ανάντη τείχος προστασίας κρατά την αποκλειστική διεύθυνση και προωθεί την κίνηση σε διαφορετική πύλη VPN. Αυτή είναι μια μετάφραση προορισμού με διαδρομή επιστροφής, και είναι απολύτως έγκυρος σχεδιασμός εφόσον τεκμηριώνεται ως τέτοιος.

Αυτό που δεν είναι, είναι απόδειξη ότι η ανάντη συσκευή απέκτησε τοπική υποδοχή VPN. Η μετάφραση προωθεί πακέτα· δεν κάνει το άνω κουτί αποκρινόμενο IKE. Αν ο ανάντη κανόνας αφαιρεθεί ή σπάσει η διαδρομή επιστροφής του, το VPN σταματά παρόλο που η πύλη είναι υγιής και οι δικές της υποδοχές ακέραιες.

Καταγράψτε και τις δύο διευθύνσεις: αυτή με την οποία επικοινωνούν οι ομότιμοι και αυτή που βλέπει πραγματικά η πύλη. Στη συνέχεια καταγράψτε τη μεταφορά και τη διαδρομή επιστροφής, γιατί μια μετάφραση που λειτουργεί για UDP 500 αλλά όχι για ενθυλακωμένο ESP θα συνδεθεί και μετά θα αποτύχει να μεταφέρει κίνηση, κάτι που είναι μπερδεμένη αστοχία για αποσφαλμάτωση αργότερα.

Η ταυτότητα δεν είναι η εξωτερική διεύθυνση

Το IPsec διαχωρίζει το τελικό σημείο της σήραγγας από την κίνηση που προστατεύει, και η αρχιτεκτονική κρατά αυτές τις αποφάσεις σε διαφορετικά σημεία. Η αλλαγή της διεύθυνσης με την οποία επικοινωνούν οι ομότιμοι δεν αλλάζει αυτόματα ποια εσωτερικά προθέματα επιτρέπονται, ποιες διαδρομές εγκαθίστανται ή ποιους πόρους μπορεί να φτάσει η συνεδρία.

Η πιστοποιημένη ταυτότητα είναι και πάλι ξεχωριστή. Το IKEv2 μεταφέρει ωφέλιμο φορτίο ταυτότητας και ανταλλαγή πιστοποίησης που δεν χρειάζεται να ταιριάζουν με την εξωτερική διεύθυνση πακέτου, και γι' αυτό ακριβώς ένα μεταφρασμένο σχέδιο μπορεί ακόμα να πιστοποιείται σωστά.

Αυτή η ανεξαρτησία είναι χρήσιμη και ταυτόχρονα παγίδα. Δύο ονόματα DNS που επιλύονται σε έναν συνηθισμένο ακροατή δεν επιλέγουν διαφορετικά backend VPN, και ένα πιστοποιητικό που ονομάζει μία ταυτότητα δεν θα ικανοποιήσει έναν ομότιμο που περιμένει άλλη. Επιβεβαιώστε τι επικυρώνει ο ομότιμος πριν υποθέσετε ότι το αποφασίζει μόνη η διεύθυνση.

Αποδεχτείτε το σχέδιο παρατηρώντας μία σύνδεση

Εξετάστε πού παραδίδεται πραγματικά μια νέα εξουσιοδοτημένη σύνδεση, ποια ταυτότητα απαντά και ποια ιδιωτική ροή επιτρέπεται στη συνέχεια. Τρεις παρατηρήσεις, τρία διαφορετικά επίπεδα, και μια επιτυχημένη δημόσια αναζήτηση της διεύθυνσης δεν ελέγχει καμία από αυτές.

Κρατήστε και την αρνητική περίπτωση: έναν ομότιμο που δεν θα έπρεπε να γίνει δεκτός, ή ένα εσωτερικό πρόθεμα που δεν θα έπρεπε να είναι προσβάσιμο, επαληθευμένα μετά την αλλαγή. Το αρχείο που γράψατε στην αρχή είναι αυτό που κάνει αυτή τη δοκιμή δυνατή χωρίς να ανακατασκευάσετε το σχέδιο από μνήμης.

Το νόημα όλων αυτών είναι να αφήσει στον ιδιοκτήτη του δικτύου την επιλογή μιας υποστηριζόμενης μεθόδου κατανομής αντί να βασίζεται σε έναν γενικό ισχυρισμό για το τι μπορεί κάθε τείχος προστασίας να κάνει με μια πρόσθετη διεύθυνση. Αυτός ο ισχυρισμός είναι ακριβώς το σημείο όπου αυτά τα σχέδια πάνε στραβά, γιατί ακούγεται εύλογος σε κάθε πλατφόρμα και γενικά δεν ισχύει σε καμία. Το αρχείο των τεσσάρων γραμμών το ξεκαθαρίζει για την πλατφόρμα σας σε δέκα λεπτά.