NIC bat edo bi? VPN zerbitzari baten interfazeen diseinua nola erabaki

Adaptadore fisiko bakarra nahikoa da VPN zerbitzari askorentzat, eta ez da diseinu unibertsala ere. Konexio zifratua adaptadore horretara iristen da, VPN prozesuak deszifratu egiten du, eta barne trafikoa interfaze birtual batetik ateratzen da zerbitzu lokal batera edo bideratutako LAN batera iritsi aurretik. Hori funtzionatzen duen hiru baldintzaren araberakoa da: non dagoen helmuga, LANak itzulera bide bat duen bezeroen multzoraino, eta partekatutako esteka fisiko batek aldarrikatzen duzun isolamendua ematen duen. Erantzun hiru horiei eta adaptadore kopurua atzetik dator.

Hori erabakitzen duten hiru baldintzak

Lehen baldintza helmuga da. VPN ostalariaren beraren zerbitzua tunel interfazearen bidez bakarrik iristen da, eta LANeko ostalari batek birbidalketa eta itzulera bidea behar ditu. Bigarren baldintza itzulera bide hori da, LAN gailuak bezeroen multzora nola iritsi jakin behar duelako, bide baten bidez edo zerbitzarian itzulpenaren bidez.

Hirugarren baldintza bereizketa da. Adaptadore batek esan nahi du pakete bakoitzak, zifratuta edo ez, esteka bat eta normalean politika kate bat partekatzen duela, beraz hardware bereizian oinarritzen den isolamendu aldarrikapen bat ez du interfaze bakar batek betetzen. Hori bideari buruzko egitatea da, ez sistema eragilea nola konfiguratuta dagoen. Tunelaren trafikoa iragaz dezakezu oraindik, baina ez duzun muga bat ezin duzu aldarrikatu.

Hiru horietako bat ere ez da karkasako ateen kopuruari buruzkoa. Bideratzeari, helbideen jabeari eta diseinuak bereizketa fisikoaren menpe zenbat dagoenari buruzkoak dira.

Bi adaptadorek aukera zilegi izaten jarraitzen dute zona fisikoek, uplink bereiziek, errendimenduak edo banda kanpoko berreskuratze bideak hori justifikatzen dutenean. Baldintza zehatzak dira, eta merezi du horiek aipatzea norbaitek hardwarea eskatu aurretik.

Zerbitzua VPN ostalarian exekutatzen denean

Kasurik sinpleenak ez du birbidalketarik behar. Daemonak bezeroaren paketeak tunel interfazean jasotzen ditu eta socket lokal bati ematen dizkio, eta erantzunak interfaze beretik itzultzen dira. Bezeroen multzoko helbidea benetako helbide lokala da ostalariaren ikuspegitik.

Bi gauzak zuzen egon behar dute oraindik: zerbitzuak tunelak irits dezakeen helbide batean entzun behar du, eta ostalariaren suebakiak tunel interfazera iristen den trafikoa onartu behar du. Biak beheko komandoetan ikusten dira.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Zerbitzu bat helbide publikora soilik lotzeak, edo tunel interfazea nahi gabe iragazteak, ostalarira iritsi eta gero hiltzen den konexio bat sortzen du. Hori VPN akatsa dirudi eta normalean socket edo suebaki erabakia da.

Helmuga LANean dagoenean

Hemen irabazten du adaptadore bakarreko diseinuak nekeza izatearen ospea. Zerbitzariak bezeroaren paketeak LANerantz birbidali behar ditu, eta LAN gailuak erantzunak bezeroen multzora itzuli behar ditu. Edo multzo hori LANeko bide gisa eraman, edo iturburu helbidea zerbitzarian itzuli, erantzunak zerbitzarira bertara itzul daitezen.

Bi erantzunak zilegiak dira eta desberdin huts egiten dute. Itzulera bideak bezeroaren jatorrizko helbidea helmugarentzat ikusgai mantentzen du, eta hori ona da erregistroetarako eta txarra LAN helbideak suposatzen dituzten suebaki arauetarako. Itzulpenak LANa sinple mantentzen du eta bezeroaren identitatea ezkutatzen du helmugatik.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Bide asimetrikoa da sintoma klasikoa: bezeroaren eskaera iristen da, erantzuna beste bideratzaile batetik ateratzen da, eta konexioak denbora agortzen du mutur batean zein bestean errorerik gabe. Harrapatu bi aldeetan tunelari buruz ezer ondorioztatu aurretik.

Zergatik alias batek ez duen bigarren zona sortzen

Bigarren helbide bat adaptadore berari gehitzeak, edo bigarren atea imitatzeko interfaze faltsu bat sortzeak, oso gutxi aldatzen du. Paketeak esteka fisiko beretik, switch ataka beretik eta normalean suebaki kate beretik ateratzen dira oraindik, beraz ez dago muga berririk haien artean. Konfigurazio erosotasuna da, ez segmentazioa. Hori zona muga gisa tratatzea da isolamendu aldarrikapen bat paperean soilik bizirauteko modua.

Zona bereiziak bideko bereizketa erreala behar du, eta bigarren adaptadore batek betetzen duen baldintza hori da. Arau bat VPN aldera doan trafikoak inoiz LAN aldera doan trafikoarekin difusio domeinua partekatzearen menpe badago, kable bakar batek ezin du propietate hori eman, ostalaria nola helbideratuta egon ere.

Produktu batek modu jakin baterako interfaze anitzeko topologia dokumentatzen duenean, jarraitu produktu horren dokumentazioari, asmatu beharrean. Hornitzaileek ere aldatzen dituzte onartutako topologiak bertsioen artean, eta hori arrazoi gehiago da uneko gida irakurtzeko, morroi baten pantaila-argazki zaharraren ordez.

Egiaztatu diseinua baimendutako trafikoaren aurka

Zerrendatu zerbitzariak eraman behar dituen trafiko klaseak: bezeroa ostalarira, bezeroa LANera, ostalaria LANera eta kanpoko konexio zifratua. Klase bakoitzak iturburu bat, helmuga bat eta interfaze bat ditu, eta diseinuak laurak aldi berean bete behar ditu. Hirurekin moldatzen den diseinua izaten da tiketak sortzen dituena.

Ondoren egiaztatu benetako interfazeak eta benetako harrapaketa, ez diseinu dokumentuko diagrama. Beheko komandoek bi ikuspegiak inprimatzen dituzte.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Kanpoko harrapaketak trafiko zifratua erakusten badu eta barneko harrapaketak deszifratutako trafikoa tunel interfazean erakusten badu, adaptadore fisikoak biak daramatzala, NIC batek egiten du lana. Barneko harrapaketa hutsik badago, arazoa tunelean edo birbidalketa arauetan dago, ez adaptadore kopuruan. Erabaki topologia bi harrapaketa horietatik eta bideratze taulatik, eta hurrengo aldaketak neurtzeko zerbait izango du.