Zein paketerekin egin behar du bat WAN biko VPN politikak?

VPN bigarren uplink-etik bideratzeko eskaerek gutxienez bi zeregin desberdin deskribatzen dituzte, eta bat konpontzen duen politikak ez dio besteari ukitzen. Lehen zereginean, bi muturren arteko garraio zifratua beste WAN helbide batera aldatzen da. Bigarrenean, konektatutako erabiltzaile baten deskifratutako aplikazio fluxua hurrengo jauzi desberdin baterantz irteten da. Biak dira zilegi, biek erabiltzen dute bideratzea, eta bakoitzak erabakia hartzen den puntuan existitzen den pakete batekin bat egitea behar du. Egin beheko egiaztapenak ordenan, lehenengoak zehazten baitu geroagoko arauek zein pakete izendatu behar duten.

Izenda itzazu bi elkarrizketak

Imajinatu bulegoko ate bati konektatutako urrutiko langile bat, barneko aplikazio zerbitzari batera HTTPS irekitzen duena. Bi elkarrizketa independente daude kablean, eta mutur bakoitzean helbide desberdinak dituzte. Kanpoko elkarrizketa VPNaren bi muturren artean doa: atearen helbidetik parearen helbidera, hedapenak adostu zuen protokolo eta portuarekin. Barneko elkarrizketa bezeroari esleitutako helbidetik aplikazio zerbitzariaren helbidera doa 443 portuan.

Aplikazioaren helmuga portua ez da VPNaren garraio portua, eta TCP 443ren gaineko politikak ez du tunela mugituko. Era berean, parearen garraio helbidea birbideratzen duen arauak ez du ezer esaten erabiltzaile horren HTTP eskaera deskifratu ondoren nora doan. Idatz itzazu bi elkarrizketak beren benetako helbideekin arau bat ukitu aurretik, arlo honetako nahasmenik gehiena bat izendatu eta bestea konfiguratetik datorrelako.

Aurkitu zure politikak paketea benetan non ikus dezakeen

Bat-etortzea paketea deskribatu duzun forman oraindik dagoen katean eta izen-espazioan ebaluatu behar da. LAN sarrerari atxikitako arau batek barneko paketea zifratu gabe ikusten du, tunelera bideratu aurretik. Bertan sortutako trafikoari aplikatutako arau batek atea berak sortzen dituen paketeak ikusten ditu, eta ez du automatikoki estaltzen ateak soilik birbidaltzen duen trafikoa. Irteera kapsulatua hirugarren kasu bat da berriro, normalean tunela daraman interfazean kudeatzen dena, ez LAN aldean.

Horregatik, konfigurazio zati berak desberdin jokatzen du bi plataformatan: atxikimendu puntuak desberdinak dira, eta saltzaile baten politika kakoa zifratze urratsa baino lehenago edo geroago egon daiteke. Irakurri paketearen ibilbidea produktu zehatzarentzat, beste saltzaile baten diagramatik ordena suposatu beharrean.

Egiaztatu adostu duzun garraioa

UDPn kapsulatutako IPsec-erako, RFC 3948 arauak ESP UDPren barruan jartzen du eta ESP ez den markatzaile bat erabiltzen du IKE partekatutako portuan bereizgarri mantentzeko. ESP soila IP protokolo bat da, ez TCP edo UDP portu bat, beraz portu zenbaki baten aurka idatzitako suebaki arau batek ez du bat egingo harekin. Bereizketa honek zehazten du zure WAN politikak UDP arau bat, protokolo arau bat edo biak behar dituen.

Adostutako balioek gogoratutakoek baino gehiago balio dute. Irakurri asoziazioaren uneko portuak eta helbideak gailutik, TCP 4500 edo saltzaile zahar baten portua ziurtasunagatik gehitu beharrean, horrek erlaziorik gabeko trafikoa harrapatzen baitu eta benetako sailkapen arazoa ezkutatzen.

Egiaztatu itzulera bidea konpromisoa hartu aurretik

Irteerako arloak diseinuaren erdia frogatzen du. Bezero urrunen multzorantz itzultzen den paketea ez da jada ikusten bezeroaren helbidearen pean kapsulatzeak ordezkatzen duenean: kanpoko helmuga parearen garraio helbidea da. Bigarren uplink-ak pare hori beste operadore baten bidez iristen badu, haren itzulpena eta iragazketa lehenengoarekin bat ez etorri daitezke, eta asoziazioa migratu beharrean berreraiki behar izan daiteke.

Sare helbideen itzulpenaren egoera WAN aldaketa baten ohiko biktima da. Erregistra itzazu hautatutako uplink-a, espero den kanpoko iturri helbidea, erabiltzen ari den itzulpena eta parearen irisgarritasuna hara itzuliz, eta gero mantendu garraioa irisgarri, daraman tunelera bidali gabe.

Egiaztatu bi geruzak bi kapturarekin

WAN interfazean egindako kaptura batek eta tunelaren barruan egindako batek edozein konfigurazio konparazio baino azkarrago argitzen dute galdera. Exekutatu itzazu atetik bezero onartu batek eskaera bakarra egiten duen bitartean, eta gorde bi fitxategiak.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Lehen kapturak kanpoko elkarrizketa zuk nahi zenuen interfazea uzten erakutsi behar du, espero den iturri helbidearekin. Bigarrenak barneko elkarrizketa behin erakutsi behar du, bikoiztu gabe, bezeroaren helbidea iturri eta aplikazio zerbitzaria helmuga direla. Ibilbide bilaketak berresten du zein taula erabiliko lukeen bideratzaileak iturri-helmuga bikote horretarako, eta hor agertzen da normalean politika akatsa. Kapturetako bat agertzen ez bada, erabaki puntua araua atxiki zen tokia ez den beste leku batean dago, eta konponketa hara doa, ez bat-etortze zabalago batera.