Kes tegelikult vastab VPN-i sihtotstarbelisel aadressil?

Organisatsiooni eraldises kasutult seisev aadress ei ole kuulaja ja selle tulemüüri lisamine ei loo ühtegi. Midagi peab sellel aadressil IKE lõpetama ja mehhanism erineb selle järgi, kas aadress kuulub lüüsile või tõlgib seda ülesvoolu seade. Just paketi teekond eristab neid kahte ja see otsustab, millist platvormi funktsiooni vajate, enne kui keegi muudatustaotluse avab. Modelleerige esmalt teekonda, seejärel valige.

Aadressi taga olev paketi teekond

Vastaspool saadab IKE tema saadud aadressile, UDP 500 või UDP 4500 kaudu, kui NAT-i läbimine mängus on. Ükskõik milline seade seda aadressi teekonnal hoiab, see kas võtab datagrammi kohapeal vastu ja vastab sellele või edastab selle mujale. Need on ainsad kaks võimalust ja kõik muu selles artiklis tuleneb sellest, kumb on tõene.

Kohapeal vastuvõtmine tähendab, et sellel seadmel on selle aadressiga seotud pesa. Edastamine tähendab, et datagramm kirjutatakse ümber ja saadetakse edasi teisele lõpp-punktile, kellel siis pesa on. Tulemüüri reegel, mis lubab UDP 500, ei ütle teile midagi selle kohta, kumb kahest toimub.

Kirjutage kirje enne, kui midagi puudutate: aadress, millega vastaspooled ühendust võtavad, kuidas ülesvoolu võrk selle kohale toimetab, kohalik liides või loogiline lõpp-punkt, mis selle vastu võtab, ja protsess, mis IKE-le vastab. Neli rida ja igaüht saab kontrollida. Kui üks neist on teadmata, on see teadmatus projekteerimistöö, mitte hiljem lahendatav rakendusdetail. Nende täitmine pärast muudatustaotluse kinnitamist on viis, kuidas tõlkereegel satub valesse seadmesse.

Mudel A: lüüs omab aadressi

Esimeses mudelis hoiab lüüs aadressi ise, kas olemasoleval liidesel teisese aadressina, sihtotstarbelisel liidesel aadressina või loopbackina, mida platvorm toetab tunnelilõpp-punktina. Need on kolm erinevat funktsiooni kolme erineva konfiguratsiooniteega ja platvorm, mis toetab ühte, ei pruugi toetada teisi.

Kinnitage, et platvorm ja väljalase toetavad täpselt seda paigutust, enne kui selle ümber projekteerite. Marsruuditud plokk, liidesel lisaaadress ja loopbacki lõpp-punkt ei ole vahetatavad ning ühe väljalaske dokumentatsioon ei taga, et järgmine käitub samamoodi.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Kuulav pesa on tõestus. Kui aadressiga pole midagi seotud, ei ole lüüs lõpetaja, ükskõik mida marsruutimistabel ütleb, ja paketi püüdmine näitab, et datagrammid saabuvad ilma millegita neile vastamas.

Ärge pange teist liidest alamvõrku, mis on topoloogias juba mujal olemas, ja ärge eeldage, et platvorm selle korda teeb. Kattuvad liidese alamvõrgud tekitavad mitmetimõistetava lähtekoha valiku ja paljudel platvormidel hoopis keeldumise konfigureerida.

Mudel B: ülesvoolu seade tõlgib seda

Teises mudelis hoiab ülesvoolu tulemüür sihtotstarbelist aadressi ja edastab liikluse teisele VPN-i lüüsile. See on sihtkoha tõlge tagasiteega ja see on täiesti kehtiv lahendus seni, kuni seda sellisena dokumenteeritakse.

Mida see ei ole, on tõestus, et ülesvoolu seade omandas kohaliku VPN-i pesa. Tõlge edastab pakette; see ei tee ülemisest kastist IKE-le vastajat. Kui ülesvoolu reegel eemaldatakse või selle tagasitee katkeb, peatub VPN ka siis, kui lüüs on terve ja tema enda kuulajad puutumatud.

Kirjutage üles mõlemad aadressid: see, millega vastaspooled ühendust võtavad, ja see, mida lüüs tegelikult näeb. Seejärel kirjutage üles transport ja tagasitee, sest tõlge, mis töötab UDP 500 puhul, kuid mitte kapseldatud ESP puhul, loob ühenduse ja ei suuda siis liiklust kanda, mis on hiljem segadusttekitav viga siluda.

Identiteet ei ole väline aadress

IPsec eraldab tunnelilõpp-punkti liiklusest, mida ta kaitseb, ja arhitektuur hoiab need otsused eri kohtades. Aadressi muutmine, millega vastaspooled ühendust võtavad, ei muuda automaatselt, millised sisemised prefiksid on lubatud, millised marsruudid paigaldatakse või millistele ressurssidele seanss võib jõuda.

Autenditud identiteet on jällegi eraldi. IKEv2 kannab identiteedi kandevõimet ja autentimisvahetust, mis ei pea vastama välimisele paketi aadressile, ja just seetõttu saab tõlgitud lahendus endiselt õigesti autentida.

See sõltumatus on kasulik ja ühtlasi lõks. Kaks DNS-i nime, mis lahenduvad üheks tavaliseks kuulajaks, ei vali erinevaid VPN-i taustu, ja sertifikaat, mis nimetab üht identiteeti, ei rahulda vastaspoolt, kes ootab teist. Kinnitage, mida vastaspool valideerib, enne kui eeldate, et otsustab ainult aadress.

Nõustuge lahendusega, jälgides üht ühendust

Uurige, kuhu uus volitatud ühendus tegelikult toimetatakse, milline identiteet vastab ja milline privaatvoog seejärel lubatakse. Kolm vaatlust, kolm erinevat kihti, ja aadressi edukas avalik otsing ei kontrolli neist ühtegi.

Hoidke ka negatiivne juhtum: vastaspool, mida ei tohiks vastu võtta, või sisemine prefiks, mis ei tohiks olla kättesaadav, kontrollituna pärast muudatust. Alguses kirjutatud kirje on see, mis teeb selle testi võimalikuks ilma lahendust mälust rekonstrueerimata.

Kõige selle mõte on lasta võrgu omanikul valida toetatud eraldusmeetod, selle asemel et toetuda üldisele väitele, mida iga tulemüür lisaaadressiga teha suudab. Just see väide on koht, kus need lahendused valesti lähevad, sest see kõlab usutavalt igal platvormil ja üldiselt ei kehti mitte ühelgi. Neljarealine kirje lahendab selle teie platvormi jaoks kümne minutiga.