Nork erantzuten dio benetan VPNaren helbide dedikatuari?

Erakundearen esleipenean erabili gabe dagoen helbide bat ez da entzule bat, eta suebaki batera gehitzeak ez du bat sortzen. Zerbaitek IKE amaitu behar du helbide horretan, eta mekanismoa aldatzen da atebideak helbidea daukan edo goiko gailu batek itzultzen duen arabera. Paketearen bidea da biak bereizten dituena, eta hark erabakitzen du zein plataforma-ezaugarri behar duzun norbaitek aldaketa-eskaera bat ireki aurretik. Modelatu bidea lehenik, eta gero aukeratu.

Helbidearen atzeko paketearen bidea

Bikote batek IKE bidaltzen dio jaso duen helbidera, UDP 500ean edo UDP 4500ean NAT zeharkatzea jokoan dagoenean. Bidean helbide hori duen gailuak datagrama lokalki jasotzen eta erantzuten du, edo beste nonbaitera birbidaltzen du. Bi aukera horiek baino ez daude, eta artikulu honetako gainerako guztia horietatik zein den egiaztatik dator.

Lokalki jasotzeak esan nahi du gailu horretan helbide horri lotutako socket bat badagoela. Birbidaltzeak esan nahi du datagrama berridatzi eta beste mutur batera bidaltzen dela, eta orduan hark duela socketa. UDP 500 baimentzen duen suebaki-arau batek ez dizu ezer esaten bi horietatik zein gertatzen den.

Idatzi erregistroa ezer ukitu aurretik: bikoteek kontaktatzen duten helbidea, goiko sareak nola entregatzen duen, jasotzen duen tokiko interfazea edo mutur logikoa, eta IKEri erantzuten dion prozesua. Lau lerro, eta bakoitza egiaztatu daiteke. Horietako bat ezezaguna denean, ezezagun hori diseinu-lana da, eta ez geroago erabakitzeko inplementazio-xehetasuna. Aldaketa-eskaera onartu ondoren betetzea da itzulpen-arau bat gailu okerrean amaitzeko modua.

A modeloa: atebideak helbidea dauka

Lehen modeloan atebideak berak dauka helbidea, bai lehendik dagoen interfaze batean bigarren mailako helbide gisa, bai interfaze dedikatu batean helbide gisa, bai plataformak tunel-mutur gisa onartzen duen loopback gisa. Hiru ezaugarri desberdin dira, hiru konfigurazio-bide desberdinekin, eta bat onartzen duen plataformak agian ez ditu besteak onartzen.

Berretsi plataformak eta bertsioak zehazki antolamendu hori onartzen dutela horren inguruan diseinatu aurretik. Bideratutako bloke bat, interfaze batean helbide gehigarri bat eta loopback mutur bat ez dira trukagarriak, eta bertsio baten dokumentazioak ez du agintzen hurrengoak berdin jokatuko duenik.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Entzuten ari den socketa da froga. Helbideari ezer lotuta ez badago, atebidea ez da amaitzailea bideratze-taulak dioen edozein dela ere, eta pakete-kapturak erakutsiko du datagramak iristen ari direla inork erantzun gabe.

Ez jarri bigarren interfaze bat topologian beste nonbait badagoen azpisare batean, eta ez pentsatu plataformak konponduko duenik. Gainjartzen diren interfaze-azpisareek iturburu-hautaketa anbiguoa sortzen dute eta, plataforma askotan, konfiguratzeari erabateko uko egitea.

B modeloa: goiko gailu batek itzultzen du

Bigarren modeloan goiko suebaki batek helbide dedikatua dauka eta trafikoa beste VPN atebide batera birbidaltzen du. Hori helmugako itzulpena da itzulera-bidearekin, eta diseinu guztiz baliozkoa da hala dokumentatuta badago.

Ez dena da goiko gailuak tokiko VPN socket bat eskuratu duen froga. Itzulpenak paketeak birbidaltzen ditu; ez du goiko kaxa IKE erantzule bihurtzen. Goiko araua kentzen bada edo haren itzulera-bidea apurtzen bada, VPN gelditu egiten da atebidea osasuntsu eta haren entzuleak ukitu gabe egon arren.

Erregistratu bi helbideak: bikoteek kontaktatzen dutena eta atebideak benetan ikusten duena. Gero erregistratu garraioa eta itzulera-bidea, UDP 500erako funtzionatzen duen baina ESP kapsulaturako funtzionatzen ez duen itzulpen bat konektatu eta gero trafikoa garraiatzeko huts egingo baitu, eta hori nahasgarria da geroago arazteko.

Identitatea ez da kanpoko helbidea

IPsec-ek tunel-muturra babesten duen trafikoarengandik bereizten du, eta arkitekturak erabaki horiek leku desberdinetan gordetzen ditu. Bikoteek kontaktatzen duten helbidea aldatzeak ez du automatikoki aldatzen zein barne-prefix baimentzen diren, zein bide instalatzen diren edo zein baliabidetera irits daitekeen saioa.

Egiaztatutako identitatea berriro ere bereizia da. IKEv2-k identitate-karga eta egiaztapen-trukea daramatza, eta horiek ez dute paketearen kanpoko helbidearekin bat etorri behar; horregatik zehazki, itzulitako diseinu batek oraindik behar bezala egiazta dezake.

Mendekotasun eza hori erabilgarria da eta aldi berean tranpa. Entzule arrunt batera ebazten duten bi DNS izenek ez dituzte VPN backend desberdinak hautatzen, eta identitate bat izendatzen duen ziurtagiriak ez du beste bat espero duen bikote bat aseko. Berretsi bikoteak zer baliozkotzen duen helbideak bakarrik erabakitzen duela pentsatu aurretik.

Onartu diseinua konexio bat behatuz

Aztertu baimendutako konexio berri bat benetan non entregatzen den, zein identitatek erantzuten duen eta gero zein fluxu pribatu baimentzen den. Hiru behaketa, hiru geruza desberdin, eta helbidearen bilaketa publiko arrakastatsuak ez du horietako bat ere probatzen.

Gorde kasu negatiboa ere: onartu behar ez litzatekeen bikote bat, edo iristeko modukoa ez litzatekeen barne-prefix bat, aldaketaren ondoren egiaztatuta. Hasieran idatzitako erregistroa da diseinua memoriatik berreraiki gabe proba hori egitea ahalbidetzen duena.

Honen guztiaren zentzua sarearen jabeari onartutako esleipen-metodo bat aukeratzen uztea da, suebaki bakoitzak helbide gehigarri batekin zer egin dezakeenari buruzko baieztapen orokor batean fidatu beharrean. Baieztapen hori da hain zuzen diseinu hauek huts egiten duten tokia, plataforma guztietan sinesgarria ematen duelako eta, oro har, bat ere ez delako egia. Lau lerroko erregistroak zure plataformarako argitzen du hamar minututan.