Bideetan oinarritutako vs. politikan oinarritutako guneen arteko VPN: zertan desberdintzen dira

Bi diseinuek trafiko bera babesten dute IPsec makineria berarekin, eta paketea tunelera sartzea zer den erabakitzen duen horretan desberdintzen dira. Politikan oinarritutako konexioan negoziatutako trafiko-hautatzaileek egiten dute lan hori; bideetan oinarritutakoan, tunel-interfaze batera seinalatzen duen bide batek egiten du. Biak nahasteak ohiko laguntza-haria sortzen du: tunelak ezarrita dagoela dio, baina aplikazioak ez du ezer lortzen. Bereizketa garrantzitsuena da sare bat gehitzen duzunean, bideratze-protokolo bat exekutatzen duzunean edo irteera okerretik isilka ateratzen den bide bat arazten duzunean.

Tunelera zer sartzen den erabakitzeko bi modu

Politikan oinarritutako VPN batek iturburu- eta helburu-prefixoei egokitzen zaien segurtasun-politika bat eraikitzen du, eta gero egokitzen dena zifratzen du. Parekoak hautatzaile bateragarriak negoziatu behar ditu, beraz benetako irismena bi aldeek proposatutakoaren ebakidura izatera iristen da. Ebakidura horretatik kanpo ezer ez dago babestuta, bideratze-taulak zer esan ere.

Bideetan oinarritutako VPN batek tunela ordezkatzen duen interfaze bat sortzen du eta bideratze-taulak trafiko hara bidaltzen uzten du. IKE daemonak oraindik egoera eta interfaze bakoitzeko politika instalatzen ditu, eta hori da jendeak bideak zifratzea ordezkatu dutela erabakitean saltatzen duen xehetasuna. Bi diseinuek IPsec-ekin zifratzen dute; hautapen-mekanismoa baino ez da aldatzen.

Irakurri beheko alderaketa hutsegite-sinadura multzo gisa, ez puntu-taula gisa, zeren ezta zutabeek ere ez baitu berez irabazten.

Politikan oinarritua: hautatzailea da kontratua

Hautatzaileak negoziatu egiten dira, ez dira soilik ezartzen. Proposatu alde batean 10.10.0.0/16 eta bestean 10.10.1.0/24, eta elkarteak negoziazioak adostutakoa estaliko du, beste ostalari guztiak kanpoan geratzen direla.

Irakurri instalatutako egoera konfigurazio-fitxategia baino. Linux parekoan kernelaren beraren taulek dute egia, eta negoziaziotik zer atera zen erakusten dute. Prefixo zuzenak izendatzen dituen baina bat datorren egoerarik ez duen politika batek elkartea inoiz altxatu ez zela esan nahi du. Prefixo okerrarentzako politikarekin parekatutako egoera aurkako arazoa da, eta osasuntsu dirudien tunela sortzen du, azpisare bat ezer lortu ezin duen bitartean.

sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sas

Alderatu bi irteerak babesten ari zarela uste duzun prefixoekin. Alderaketa bakar horrek konpontzen ditu tunelak funtzionatzen duelako eta zerbitzaria iristezina delako erreporteen gehiengoa. Zein pareko aldatu erakusten du ere, desadostasuna norabide bakarrean baino ez baita ikusten normalean.

Bideetan oinarritua: interfazea da kontratua

XFRM interfaze batek tunelari izen bat eta identitate bat ematen dizkio, eta trafikoa hara iristen da bideratze-taulak hala dioelako. Urrutiko prefixo batzuek bideratze-arazo bilakatzen dira orduan, ez hautatzaile-arazo, eta bideratze-protokolo batek iragar ditzake. Hori da benetako irabazia, ez zifratzea.

Interfazeak ez du politikaren beharra kentzen. Daemonak interfazearen identitateari lotutako arauak instalatzen ditu interfaze bakoitzeko, beraz interfaze okerrean iristen den paketeak huts egiten jarraitzen du. Parekoak onartuko ez duen iturburu-helbide batek ere huts egiten du, bide ezin hobea izan arren. Bideetan oinarritua esan nahi du bideak erabakitzen duela sarrera, ez politikak desagertu direnik.

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10

Begiratu interfazearen kontagailuei bidea ezarrita dagoenean. Bidea badago baina kontagailuak zerotan geratzen badira, ezer ez da tunelera egokitzen ari, eta horrek falta den egoera batera eramaten du normalean, falta den bide batera baino gehiago.

Non bereizten dira benetan bi diseinuak

Sare bat gehitzea da zein eredu dagokizun jakiteko proba garbiena. Bideetan oinarritutako diseinuak bide bat gehitzen du eta hautatzailea gehienez behin zabaltzen du, politikan oinarritutako diseinuak, berriz, prefixo-bikoteak bi parekoetan editatzen ditu eta berriro negoziatzen du. Bi azpisare egonkorrek aldaketa hori hutsal egiten dute, eta hogelek proiektu bihurtzen dute.

Inongo ereduk ez du suebaki bat ordezkatzen, eta alderaketak puntu honen aurretik gelditzen dira normalean. Hautatzaile zabal batek edo bide zabal batek zifratzen dena erabakitzen du, ez zer den baimenduta.

MTUren portaera ere desberdina da praktikan. Kapsulatzeak erabil daitekeen karga erabilgarria murrizten du, eta bideetan oinarritutako interfazeak bere MTU darama, beraz MSS bi atebideetan finkatzeak zulo beltzaren sintoma saihesten du: erantzun txikiak iristen dira eta handiak desagertzen. Politikan oinarritutako tunelak horma berberarekin topatzen dira beste aldetik, hautatzaileak ez baitu ezer esaten paketearen tamainaz. Ezarri finkapena nahita, parekoa errudun egin beharrean.

Itzulera-bidea galdu gabe migratzea

Erregistratu lehendik dauden prefixo-bikoteak ezer aldatu aurretik, gero mugitu aplikazio-bide bat eta jarraitu hasieratik amaierara. Ezarritako tunel bat ez da birbidaltzen duen tunel bat, eta aldea erantzunaren norabidean agertzen da.

Parekoek konektatzen dutenean baina LANeko ostalariek ez, aztertu itzulera-bidea eta urrutiko ostalariek erabiliko duen iturburu-helbidea. Bi interfaze dituen ostalari batek okerretik erantzun dezake, eta hautatzaile-aldaketak ez du hori konpontzen. Hartu trafika bi muturretan algoritmoak editatu aurretik.

ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-conns

Mantendu tunelaren mende ez dagoen kudeaketa-bide bat lanean ari zaren bitartean. Errazagoa da atzera egitea atebidearen beraren sarbidea arazten ari zaren konexioan ez doanean.