Bi VPN jauzi jarraian: nork ikusten du benetan zure trafikoa?
Serieko jauziek lehen atebidean deskriptatzen eta berriz enkriptatzen dute; habiaratutako jauziek kanpoko geruza soilik kentzen dute. Ibili bi diseinuak eta ikusi zein operadorek zer irakurtzen duen.
Bezero-profil bakoitzak zerbitzari bat aipatzen du, beraz erabiltzailearen ikuspegitik tunel bat eta babesa amaitzen den leku bat daude. Lehen atebide horren ondoren gertatzen dena bezeroak inoiz ikusten ez duen diseinu-erabakia da, eta bi diseinu ohikoenek oso modu ezberdinean jokatzen dute ikuskapenpean. Kate serikoan lehen atebideak deskriptatzen eta berriz enkriptatzen du. Kate habiaratuan kanpoko geruza kentzen du eta ireki ezin duen barne-tunel bat aurreratzen du. Jauzi-kopurua berdina da bietan, horregatik aldea marraztu behar da, ez zenbatu.
Hasi bezeroarengandik eta izendatu bi muturrak
Hasi erabiltzailea hasten den tokian, konexio-profilean. Urrutiko helbide bat, autentifikazio-metodo bat eta, diseinuak onartzen duenean, ibilbide-zerrenda bat ditu. Etiketa ezazu bezerotik A atebidera doan kanpoko tunel hori eta eman adibide-helbideak: bezeroaren tunel-helbidea 10.77.0.2, A-rena 10.77.0.1 eta A-ren mutur publikoa 198.51.100.10, TEST-NET-2 dokumentazio-barrutitik hartuak, adibideko ezerk benetako ostalari batekin talka ez dezan.
Profil horrek ez du B atebidea aipatzen, eta hori ez da akatsa. Bigarren jauzia A-ri dagokio, eta bezeroaren betebehar bakarra trafikoa A-ri entregatzea eta itzultzen dena onartzea da. A-k tunela amaitzen duen, aurreratzen duen edo berri bat irekitzen duen da gainerako ibilbide honek erantzuten duen galdera, eta horrek erabakitzen du A-k zer irakur dezakeen.
Seriean: A-k deskriptatzen du, gero berriz enkriptatzen
Diseinu serikoan A-k trafikoa bi aldiz amaitzen du. Bezeroari babesa kentzen dio, aplikazioaren IP paketea lortzen du eta gero pakete hori B aldera sortzen duen bigarren tunel batetik bidaltzen du. Bi eragiketa horien artean paketea A-ren aurrerapen-bidean dago, helbide pribatu batera zuzendutako IP pakete arrunt gisa.
Horrek bi ondorio ematen ditu, argi esatea merezi dutenak. A-k barne-paketeari politika aplika diezaioke, ibilbide, iragazki-arau eta iturri eta helmugaren erregistro gisa, eta A-k bi kredentzial-multzo eduki behar ditu: bat zerbitzari gisa bezeroarentzat eta bestea B-ren bezero gisa. Babesa une oro dago, baina babestutako objektuak identitatea aldatzen du A-n.
Hortik ez da ondorioztatzen A-k aplikazioaren testu arrunta irakurtzen duenik. Bezeroak eta zerbitzuak TLS erabiltzen dutenean eta elkarren ziurtagiriak egiaztatzen dituztenean, A-k TLS erregistro-fluxu bat ikusten du, ez eskaera irakurgarri bat. Babes hori non amaitzen den baieztatzeko zerbitzuaren ziurtagiri-katea begiratu behar da, ez tunelaren diagrama.
Habiaratuta: A-k kanpoko geruza soilik kentzen du
Diseinu habiaratuan bezeroak lehenengo barne-tunel bat eraikitzen du B-ra eta gero tunel hori kanpokoaren barruan eramaten du A-ra. A-k kanpoko goiburua kentzen du, barne-tunel bat aurkitzen du eta hari eutsiz gabe aurreratzen du, beraz barne-babesa oraindik B-n amaitzen da.
Orduan bezeroaren gorako estekadurak bi geruza daramatza, eta A eta B arteko bideak bat. A-k barne-tunelaren kanpoko helbideak ikusten ditu, nahikoa trafikoa badagoela eta gutxi gorabehera nora doan jakiteko, eta ez nahikoa karga irakurtzeko. Hori da kasu serikoarekiko aldea osoa, eta jauzi-kontagailu batek ere ez du erakusten. A-k oraindik egin dezakeena irakurri ezin duena aurreratzeari uko egitea da, eta hori beti dago atebide horren operadorearen esku.
Habiaratzeak ezaugarri horren truke kobratzen du. Geruza bakoitzak goiburu-karga gehitzen du, beraz MTU eta MSS plangintza derrigorrezkoa bihurtzen da, eta geruza batekin funtzionatzen duen bide batek pakete handiak isilpean gal ditzake birekin. Geruza bakoitzak bere berrerkonexio eta bizirik mantentze jokaera behar du, eta geruza bateko hutsegitea bestearen bidezko etenaldi partziala dirudi.
Marraztu behatzaileak, ez tunelak soilik
Tunelak marrazkiaren zati erraza dira. Behatzaileak dira diseinuaren gaia, beraz idatzi errenkada bat ikuspegi-puntu bakoitzeko eta bete bakoitzak benetan zer irakur dezakeen.
| Vantage point | Serial chain | Nested chain |
|---|---|---|
| Client's access network | Outer tunnel only | Outer tunnel only |
| Operator of A | Inner IP packet between A and B | Outer addresses of the inner tunnel, not its payload |
| Path between A and B | Second tunnel | Second tunnel |
| Operator of B | Inner packet re-originated by A | Payload after the inner layer is removed |
| Service edge | Traffic from the exit address | Traffic from the exit address |
Bi errenkada etengabe nahasten dira: A-ren operadorea eta bezeroaren tunelaren hornitzailea. Erakunde bakarra izan daitezke, eta atebide-izen bereiziek ez dituzte independente egiten. Jabetza independenteak administrazio-kontrol bereizia, kredentzial bereiziak eta erregistro bereizia behar ditu.
Metadatuak bi diseinuetan bizirik dirau. Denbora, pakete-tamainak eta konexio-kopuruak behatzeko moduan jarraitzen dute jauzi bakoitzean, beraz bi jauzik korrelazioaren kostua igotzen dute, seinalea kendu ordez. Ikusezintasuna agintzen duen diseinua zerrenda horren aurka egiaztatu beharko litzateke inork harengan fidatu aurretik.
Ibili hutsegite-bideak aukeratu aurretik
Hautsi gauzak nahita bezeroarengandik, erabiltzaile batek aurkituko lituzkeen ordenan. Hasi interfazearekin eta haren MTUarekin, habiaratzea pakete-tamainan huts egiten baitu autentifikazioan huts egin baino askoz lehenago.
ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1Gero baieztatu babes-muturrak, suposatu ordez. Eskatu zerbitzuari haren ziurtagiria irekita dagoen edozein tunelaren barrutik, eta erkatu bezeroak ikusten duen katea zerbitzuak benetan aurkezten duen katearekin. Berriz sinatzen edo atzematen duen atebide batek ziurtagiri hori aldatzen du, eta ikuskapena komando bakar batean ikusgai bihurtzen da.
openssl s_client -connect intranet.example.com:443 -brief < /dev/nullAmaitu berrerkonexio-matrizearekin: bezeroaren tunela erortzen da, B-ren tunela erortzen da, A eta B arteko bidea aldatzen da. Idatz ezazu zer itzultzen den eta zer ez, eta barne-konexio bat inoiz bere garraiatzaile aurreikusitik kanpoko ibilbide batera erortzen den. Erregistratu proba bakoitzak erabilitako helbideak, beste sarbide-sare batean errepikatzeak beste galdera bat erantzuten baitu. Errepikatu MTU proba berrerkonexio bakoitzaren ondoren ere, aldatutako bide batek tamaina erabilgarria jaits baitezake konfigurazio-lerro bakar bat ere mugitu gabe.
Aukeratu seriekoa A-k barne-paketeari politika aplikatu behar dionean, edo bezeroak bi tunel pilatu ezin dituenean. Aukeratu habiaratzea barne-karga A-n irakurgaitz egon behar denean. Idatz ezazu aukera haren behatzaileekin eta MTU zenbakiekin, eta hurrengo pertsonak ez du irudi osoa berriz marraztu beharko galdera bati erantzuteko.