Zer erregistratu guneen arteko VPN baterako: hautatzaileak eta irismena

Hautatzaileen erregistroak esan behar du zer ikusten duen alde bakoitzak. Konfiguratutako aurrizkiak, negoziatutako elkarteak, itzulpena eta zerbitzuaren jabetza hor denak sartzen dira.

Tunela martxan jarri eta sei hilabetera, azpisare berri bat politikarekin bat egiteari uzten dio eta partekatutako karpetaren dokumentu bakarraren arabera bulegoko VPN da. Hori da hautatzaileen erregistroak saihesten duen hutsegitea, eta zehatza da: helbide multzo bat aldatu zen, paperek aldatu ez zutelarik. Erregistroa behar bezala idaztea esan nahi du jakitea zenbat helbide multzotatik zein ari zaren deskribatzen, eta beste aldeak benetan inposatzen duena erregistratzea, zuk konfiguratu zenuena erregistratu beharrean.

Konfiguratua ez da negoziatua

Politikan oinarritutako IPsec tunel batean, alde bakoitzak trafiko hautatzaileak proposatzen ditu: iturri eta helmugaren barrutiak ume-elkarterako. Erantzuten duen aldeak proposamen hori estutzeko baimena du , beraz instalatutako elkarteak konfigurazioak zerrendatzen duena baino gutxiago bete dezake. Konfigurazioa kopiatzen duen erregistroak, beraz, asmo bat deskribatzen du, ez oraingo babes-irismena. Biak isilean aldentzen dira, eta tunelaren egoera-orrialdean ezerk ez du hori adierazten.

Mantendu bi zutabeak, behatu zenituen datarekin. Konfiguratutako hautatzailea zuk nahi zenuena da; negoziatua kernelak oraintxe inposatzen duena da. Desberdinak direnean, desberdintasun horrek ustekabeko hutsegite bat askoz sarriago azaltzen du bideratze akats batek baino.

Elkarte batek ere ez ditu konfiguratutako bikote guztiak adierazten. Hautatzaile konbinazio zenbait dituen tunel batek ume-elkarte zenbait izan ditzake, eta horietako bat zerrendatzen duen erregistroa inbentario partziala da. Zerrendatu itzazu, laburbildu beharrean.

Bideetan oinarritutako tunelak modu ezberdinean hautatzen ditu

Bideetan oinarritutako interfaze batekin, bideratze-taulak erabakitzen du zer sartzen den tunelean eta hautatzaileak nahita zabalak izan daitezke. Diseinu legitimoa da, ez axolagabekeria, eta erregistroak horrela deskribatu behar du. Idatzi bidea, hark seinalatzen duen interfazea, eta zerbitzuak zein diren irisgarri mugatzen duen suebaki-politika. Babes-irismena nahita zabala da, eta zerbitzu-irismenak egiten du estutzea.

Politikan oinarritutako txantiloi bat bideetan oinarritutako tunel batera kopiatzeak hedapenak erabiltzen ez duen mekanismo bat deskribatzen duen dokumentua sortzen du. Hurrengo ingeniariak han egon behar ez zuten hautatzaileen bila hasten da, eta tunela gaizki konfiguratuta dagoelako ondorioztatzen du, gaizki dokumentatuta soilik dagoenean.

Itzulpena taula berean sartzen da

NATak beste aldeari beste barruti bat eskaintzen dionean, erregistratu jatorrizko eta itzulitako aurrizkiak elkarrekin. Ohartu hautatzaileek eta sarbide-arauak zein etapatan egiten duten bat haiekin, zeren ordenak erabakitzen baitu urruneko aldeak inoiz ikusiko ote duen zuk idatzitako helbidea. Bi barrutietako bat soilik duen taula taularik ez baino okerragoa da, osoa ematen baitu.

Hau da NAT aldaketa baten ondoren funtzionatzen ari den tunel bat hausten duen xehetasuna: hautatzaileak jatorrizko aurrizkiarekin bat egiten jarraitzen du, beste aldeak itzulia jasotzen du orain, eta haren itzulera-bideak jada existitzen ez den helbide batera seinalatzen du. Ezerk ez du errorearik erregistratzen biak bat egiteari uzten dioten unean.

DNS pribatuak leku berean du tokia. Dagokion gunetik erabil ezineko helbide batera ebazten den izen bat dokumentazio akatsa da, laguntza-txartel bat erantsita, eta tunelari egotziko zaio.

Erantsi zerbitzu-baldintza

Babestutako barruti bat ez da baimen-zerrenda bat. Idatzi zein zerbitzu izan behar diren irisgarri zein iturritatik, eta nork duen horien atzeko aplikazioaren jabetza. Bi eremu horiek galdera ezberdinei erantzuten diete, eta horiek nahastea da segurtasun-berrikuspen bat bideratzeaz eztabaidatzen amaitzeko modua, sarbideaz aritu beharrean.

Ondoren, izenda ezazu araua mantentzen duen sare-administratzailea. Jablerik gabeko hautatzaile-inbentarioa isilean zahartzen da, eta zaharkitua ez da okerretik bereizten tunelak goizeko bitan huts egiten duenean. Jabea da, halaber, aldaketa bat nahita egin zela baiezta dezakeen pertsona.

Bihur ezazu erregistroa proba-plano

Beharrezko bide bakoitzerako, aukeratu ordezkarizko iturri eta helmuga ostalari bat eta ohartu espero den bidea, zerbitzua eta erantzun-ataria. Horrek dokumentua deskribapen bat izan beharrean proba-plano bihurtzen du. Irakurri elkarte bizia beheko komandoarekin, eta alderatu idatzitako errenkada negoziatuarekin.

swanctl --list-sas

Bost lerroko eskeleto bat nahikoa izan ohi da erregistroa zintzo mantentzeko. Beheko bertsioa aldaketa-txartel batean sartzen da, moztu gabe:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Atarira soilik egindako ping ez da onarpen-proba. Ez du inoiz igarobide-bidea erabiltzen, beraz, pasa daiteke birbidalitako fluxu guztiek huts egiten duten bitartean. Probatu alde bateko ostalari batetik bestera zerbitzu batera eta egiaztatu erantzuna tuneletik iristen dela. Pingak soilik pasatzen badu, erregistroak hain zuzen saihesteko idatzi zen birbidaltze-arazoa aurkitu du. strongSwan-en birbidaltze-dokumentazioa azaltzen du nola elkarreragiten duten hautatzaileek, bideek eta birbidaltzeak Linux aldean.

Erlazionatutako artikuluak