Kiu fakte respondas ĉe la dediĉita adreso de la VPN?

Adreso kuŝanta neuzata en la atribuo de la organizo ne estas aŭskultanto, kaj aldoni ĝin al fajroŝirmilo ne kreas unu. Io devas fini IKE ĉe tiu adreso, kaj la mekanismo varias laŭ tio, ĉu la kluzo posedas la adreson aŭ ĉu supra aparato tradukas ĝin. La paketa vojo estas tio, kio distingas la du, kaj ĝi decidas, kiun platforman trajton vi bezonas antaŭ ol iu malfermas ŝanĝpeton. Unue modelu la vojon, poste elektu.

La paketa vojo malantaŭ la adreso

Kunulo sendas IKE al la adreso, kiun ĝi ricevis, ĉe UDP 500 aŭ ĉe UDP 4500 kiam NAT-trapaso ludas rolon. Kiu ajn aparato tenas tiun adreson sur la vojo, ĝi aŭ ricevas la datagramon loke kaj respondas ĝin, aŭ plusendas ĝin aliloken. Tiuj estas la solaj du ebloj, kaj ĉio alia en ĉi tiu artikolo sekvas el tio, kiu estas vera.

Loka ricevo signifas, ke ingo ekzistas sur tiu aparato, ligita al tiu adreso. Plusendo signifas, ke la datagramo estas reskribita kaj sendita plu al alia finpunkto, kiu tiam havas la ingon. Fajroŝirmila regulo, kiu permesas UDP 500, diras al vi nenion pri tio, kiu el la du okazas.

Skribu la rikordon antaŭ ol tuŝi ion ajn: la adreso, kiun kunuloj kontaktas, kiel la supra reto liveras ĝin, la loka interfaco aŭ logika finpunkto, kiu ricevas ĝin, kaj la procezo, kiu respondas al IKE. Kvar linioj, kaj ĉiu estas kontrolebla. Kiam unu el ili estas nekonata, tiu nekonataĵo estas la dezajnlaboro kaj ne efektiviga detalo solvenda poste. Plenigi ilin post aprobo de la ŝanĝpeto estas kiel traduka regulo aldoniĝas al la malĝusta aparato.

Modelo A: la kluzo posedas la adreson

En la unua modelo la kluzo mem tenas la adreson, ĉu kiel duaranga adreso sur ekzistanta interfaco, ĉu kiel adreso sur dediĉita interfaco, ĉu kiel loopback, kiun la platformo subtenas kiel tunelan finpunkton. Tiuj estas tri malsamaj trajtoj kun tri malsamaj agordaj vojoj, kaj platformo, kiu subtenas unu, eble ne subtenas la aliajn.

Konfirmu, ke la platformo kaj eldono subtenas ĝuste tiun aranĝon antaŭ ol dezajni ĉirkaŭ ĝi. Enkursigita bloko, plia adreso sur interfaco kaj loopback-finpunkto ne estas interŝanĝeblaj, kaj dokumentaro por unu eldono ne promesas, ke la sekva kondutos same.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

La aŭskultanta ingo estas la pruvo. Se nenio estas ligita al la adreso, la kluzo ne estas la finanto, sendepende de tio, kion diras la enkursigtablo, kaj paketa kaptado montros la datagramojn alvenantaj sen io, kio respondas ilin.

Ne metu duan interfacon en subreton, kiu jam ekzistas aliloke en la topologio, kaj ne supozu, ke la platformo solvos ĝin. Interkovrantaj interfacaj subretoj produktas ambiguan fontoelekton kaj, sur multaj platformoj, rifuzon agordi tute.

Modelo B: supra aparato tradukas ĝin

En la dua modelo supra fajroŝirmilo tenas la dediĉitan adreson kaj plusendas la trafikon al alia VPN-kluzo. Tio estas celloka traduko kun revena vojo, kaj ĝi estas tute valida dezajno dum ĝi estas dokumentita kiel tia.

Kion ĝi ne estas, estas pruvo, ke la supra aparato akiris lokan VPN-ingon. La traduko plusendas pakojn; ĝi ne faras la supran skatolon IKE-respondanto. Se la supra regulo estas forigita aŭ ĝia revena vojo rompiĝas, la VPN haltas eĉ se la kluzo sanas kaj ĝiaj propraj aŭskultantoj estas sendifektaj.

Rikordu ambaŭ adresojn: tiun, kiun kunuloj kontaktas, kaj tiun, kiun la kluzo efektive vidas. Poste rikordu la transporton kaj la revenan vojon, ĉar traduko, kiu funkcias por UDP 500 sed ne por enkapsuligita ESP, konektiĝos kaj poste malsukcesos porti trafikon, kio estas konfuza fiasko por posta sencimigado.

Identeco ne estas la ekstera adreso

IPsec apartigas la tunelan finpunkton de la trafiko, kiun ĝi protektas, kaj la arkitekturo tenas tiujn decidojn en malsamaj lokoj. Ŝanĝi la adreson, kiun kunuloj kontaktas, ne aŭtomate ŝanĝas, kiuj internaj prefiksoj estas permesataj, kiuj itineroj estas instalitaj, aŭ kiujn rimedojn la seanco povas atingi.

La aŭtentigita identeco estas denove aparta. IKEv2 portas identecan ŝarĝon kaj aŭtentigan interŝanĝon, kiuj ne devas kongrui kun la ekstera paketadreso, kaj ĝuste tial tradukita dezajno ankoraŭ povas aŭtentigi ĝuste.

Tiu sendependeco estas utila kaj ankaŭ kaptilo. Du DNS-nomoj solviĝantaj al unu ordinara aŭskultanto ne elektas malsamajn VPN-malantaŭojn, kaj atestilo nomanta unu identecon ne kontentigos kunulon esperantan alian. Konfirmu, kion la kunulo validigas, antaŭ ol supozi, ke la adreso sola decidas ĝin.

Akceptu la dezajnon observante unu konekton

Esploru, kien nova rajtigita konekto efektive liveriĝas, kiu identeco respondas kaj kiu privata fluo tiam estas permesata. Tri observoj, tri malsamaj tavoloj, kaj sukcesa publika serĉo de la adreso kontrolas neniun el ili.

Konservu ankaŭ la negativan kazon: kunulon, kiu ne devus esti akceptita, aŭ internan prefikson, kiu ne devus esti atingebla, kontrolitajn post la ŝanĝo. La rikordo, kiun vi skribis komence, estas tio, kio ebligas tiun teston sen rekonstrui la dezajnon el memoro.

La senco de ĉio ĉi estas lasi al la retposedanto la elekton de subtenata atribua metodo anstataŭ fidi ĝeneralan aserton pri tio, kion ĉiu fajroŝirmilo povas fari kun plia adreso. Ĝuste tiu aserto estas kie ĉi tiuj dezajnoj eraras, ĉar ĝi sonas kredebla sur ĉiu platformo kaj ĝenerale veras sur neniu. La kvarlinia rikordo solvas ĝin por via platformo en dek minutoj.