Kiun paketon devas kongrui VPN-politiko kun du WAN-oj?

Petoj enkursigi la VPN per la dua suprenligo priskribas almenaŭ du malsamajn taskojn, kaj la politiko, kiu riparas unu, ne tuŝas la alian. En la unua tasko la ĉifrita transporto inter du finpunktoj moviĝas al alia WAN-adreso. En la dua la malkriptigita aplikaĵo-fluo de konektita uzanto eliras al alia sekva salteto. Ambaŭ estas legitimaj, ambaŭ uzas enkursigon, kaj ĉiu bezonas kongruon sur paketo, kiu ekzistas ĉe la punkto, kie la decido estas farata. Trapasu la jenajn kontrolojn en ordo, ĉar la unua determinas, kiun paketon postaj reguloj devas nomi.

Nomu la du interparolojn

Imagu malproksiman laboranton konektitan al oficeja enirejo, kiu malfermas HTTPS al interna aplikaĵa servilo. Sur la drato estas du sendependaj interparoloj, kaj ili havas malsamajn adresojn ĉe ĉiu fino. La ekstera interparolo iras inter la du VPN-finpunktoj: de la enireja adreso al la samtavola adreso, per kiu ajn protokolo kaj pordo la surlokigo interkonsentis. La interna interparolo iras de la adreso asignita al la kliento al la adreso de la aplikaĵa servilo ĉe pordo 443.

La celpordo de la aplikaĵo ne estas la transportpordo de la VPN, kaj neniu kvanto da politiko sur TCP 443 movos la tunelon. Same, regulo kiu redirektas la transportadreson de la samtavolo diras nenion pri tio, kien la HTTP-peto de tiu uzanto iras post malkriptigo. Skribu ambaŭ interparolojn kun iliaj realaj adresoj antaŭ ol tuŝi regulon, ĉar la plej multa konfuzo en ĉi tiu kampo venas de nomi unu kaj agordi la alian.

Trovu, kie via politiko povas efektive vidi la paketon

La kongruo devas esti taksata en la ĉeno kaj nomspaco, kie la paketo ankoraŭ estas en la formo, kiun vi priskribis. Regulo alkroĉita al la LAN-enirejo vidas la internan paketon senĉifre, antaŭ ol ĝi estas enkursigita al la tunelo. Regulo aplikata al loke generita trafiko vidas paketojn, kiujn la enirejo mem generas, kaj ĝi ne aŭtomate kovras trafikon, kiun la enirejo nur plusendas. Enkapsuligita eligo estas denove tria kazo, kutime traktata ĉe la interfaco, kiu portas la tunelon, ne ĉe la LAN-flanko.

Tial la sama agordaĵo kondutas malsame sur du platformoj: la alkroĉaj punktoj malsamas, kaj politika hoko de vendisto povas sidi antaŭ aŭ post la ĉifrada paŝo. Legu la paketan vojon por la konkreta produkto anstataŭ supozi la ordon el diagramo de alia vendisto.

Konfirmu la transporton, kiun vi interkonsentis

Por UDP-enkapsuligita IPsec, RFC 3948 metas ESP ene de UDP kaj uzas markilon, kiu ne estas ESP, por teni IKE distingebla sur la kunhavata pordo. Ordinara ESP estas IP-protokolo, ne TCP- aŭ UDP-pordo, do fajroŝirma regulo skribita laŭ pordnumero tute ne kongruos ĝin. Ĉi tiu distingo decidas, ĉu via WAN-politiko bezonas UDP-regulon, protokolan regulon, aŭ ambaŭ.

Interkonsentitaj valoroj superas memoritajn. Legu la nunajn pordojn kaj adresojn de la asocio el la aparato anstataŭ aldoni TCP 4500 aŭ malnovan vendistan pordon por ĉiu okazo, kio kaptas nerilatan trafikon kaj kaŝas la veran klasifikan problemon.

Kontrolu la revenan vojon antaŭ ol sin devontigi

Sukceso eksteren pruvas duonon de projektado. Paketo revenanta al la naĝejo de malproksimaj klientoj ne plu estas videbla sub la adreso de la kliento, post kiam enkapsuligo anstataŭigas ĝin: la ekstera celo estas la transportadreso de la samtavolo. Se la dua suprenligo atingas tiun samtavolon tra alia portanto, ĝia tradukado kaj filtrado povas malkonsenti kun la unua, kaj la asocio eble bezonos esti rekonstruata anstataŭ migrata.

La stato de retadresa tradukado estas la kutima viktimo de WAN-ŝanĝo. Notu la elektitan suprenligon, la atendatan eksteran fontadreson, la uzatan tradukadon kaj la atingeblon de la samtavolo reen al ĝi, poste tenu la transporton atingebla sen sendi ĝin en la tunelon, kiun ĝi portas.

Kontrolu ambaŭ tavolojn per du kaptaĵoj

Unu kaptaĵo ĉe la WAN-interfaco kaj unu ene de la tunelo solvas la demandon pli rapide ol ajna agorda komparo. Rulu ilin de la enirejo dum aprobita kliento faras unu peton, kaj konservu ambaŭ dosierojn.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

La unua kaptaĵo devus montri la eksteran interparolon forlasanta la interfacon, kiun vi intencis, kun la atendata fontadreso. La dua devus montri la internan interparolon unufoje, ne duplikate, kun la klienta adreso kiel fonto kaj la aplikaĵa servilo kiel celo. La vojserĉo konfirmas, kiun tabelon la enkursigilo uzus por tiu fonto-cela paro, kaj ĝuste tie politika eraro kutime aperas. Se unu el la kaptaĵoj ne aperas, la decidpunkto estas aliloke ol tie, al kiu la regulo estis alkroĉita, kaj la korekto apartenas tien, ne en pli larĝan kongruon.