کدام بسته را باید سیاست VPN با دو WAN تطبیق دهد؟

درخواست‌هایی مانند هدایت VPN از مسیر اتصال دوم دست‌کم دو کار متفاوت را توصیف می‌کنند، و سیاستی که یکی را درست می‌کند به دیگری دست نمی‌زند. در کار نخست، انتقال رمزنگاری‌شده میان دو نقطه پایانی به نشانی WAN دیگری منتقل می‌شود. در دومی، جریان برنامهٔ رمزگشایی‌شدهٔ کاربر متصل به گام بعدی متفاوتی خارج می‌شود. هر دو مشروع‌اند، هر دو از مسیریابی استفاده می‌کنند، و هر کدام به تطبیقی روی بسته‌ای نیاز دارند که در نقطه تصمیم‌گیری وجود دارد. بررسی‌های زیر را به ترتیب انجام دهید، زیرا اولی تعیین می‌کند قواعد بعدی باید کدام بسته را نام ببرند.

دو گفتگو را نام ببرید

کارمند دورکاری را تصور کنید که به دروازهٔ یک دفتر وصل است و HTTPS را به سرور برنامهٔ داخلی باز می‌کند. دو گفتگوی مستقل روی سیم هستند و در هر انتها نشانی‌های متفاوتی دارند. گفتگوی بیرونی میان دو نقطه پایانی VPN جریان دارد: از نشانی دروازه به نشانی همتا، با هر پروتکل و پورتی که استقرار بر آن توافق کرده است. گفتگوی درونی از نشانی اختصاص‌یافته به کارخواه تا نشانی سرور برنامه روی پورت 443 جریان دارد.

پورت مقصد برنامه همان پورت انتقال VPN نیست، و هر مقدار سیاست روی TCP 443 تونل را جابه‌جا نمی‌کند. به همین ترتیب، قاعده‌ای که نشانی انتقال همتا را تغییر مسیر می‌دهد هیچ نمی‌گوید که درخواست HTTP آن کاربر پس از رمزگشایی کجا می‌رود. پیش از دست زدن به هر قاعده، هر دو گفتگو را با نشانی‌های واقعی‌شان بنویسید، چون بیشتر سردرگمی در این زمینه از نام بردن یکی و پیکربندی دیگری می‌آید.

پیدا کنید سیاست شما بسته را واقعاً کجا می‌بیند

تطبیق باید در زنجیره و فضای نامی ارزیابی شود که بسته هنوز به شکلی است که توصیف کردید. قاعده‌ای که به ورودی LAN وصل است بستهٔ درونی را رمزنگاری‌نشده می‌بیند، پیش از آنکه به سوی تونل مسیریابی شود. قاعده‌ای که بر ترافیک تولیدشده به‌صورت محلی اعمال می‌شود بسته‌هایی را می‌بیند که خود دروازه تولید می‌کند، و به‌طور خودکار ترافیکی را که دروازه تنها هدایت می‌کند پوشش نمی‌دهد. خروجی کپسوله‌شده هم حالت سومی است که معمولاً در رابطی مدیریت می‌شود که تونل را حمل می‌کند، نه در سمت LAN.

به همین دلیل همان تکه پیکربندی در دو سکو رفتار متفاوتی دارد: نقطه‌های اتصال متفاوت‌اند، و قلاب سیاست یک فروشنده ممکن است پیش یا پس از گام رمزنگاری قرار بگیرد. مسیر بسته را برای همان محصول بخوانید، نه اینکه ترتیب را از نمودار فروشندهٔ دیگری فرض کنید.

انتقالی را که توافق کرده‌اید تأیید کنید

برای IPsec کپسوله‌شده در UDP، RFC 3948 بستهٔ ESP را درون UDP قرار می‌دهد و از نشانگر غیر ESP استفاده می‌کند تا IKE روی پورت مشترک قابل تشخیص بماند. ESP ساده یک پروتکل IP است، نه پورت TCP یا UDP، پس قاعدهٔ دیوار آتشی که بر اساس شماره پورت نوشته شده باشد اصلاً با آن تطبیق نمی‌کند. همین تمایز تعیین می‌کند سیاست WAN شما به قاعدهٔ UDP، قاعدهٔ پروتکل یا هر دو نیاز دارد.

ارزش‌های توافق‌شده بر ارزش‌های به‌یادمانده می‌چربند. پورت‌ها و نشانی‌های کنونی انجمن را از دستگاه بخوانید، نه اینکه TCP 4500 یا پورت قدیمی یک فروشنده را برای احتیاط اضافه کنید، کاری که ترافیک بی‌ربط را می‌گیرد و مشکل واقعی طبقه‌بندی را پنهان می‌کند.

پیش از تعهد، مسیر بازگشت را بررسی کنید

موفقیت در جهت خروجی نیمی از یک طراحی را اثبات می‌کند. بسته‌ای که به سوی استخر کارخواهان دور برمی‌گردد، وقتی کپسوله‌سازی جای نشانی کارخواه را می‌گیرد دیگر زیر آن نشانی دیده نمی‌شود: مقصد بیرونی نشانی انتقال همتاست. اگر اتصال دوم به آن همتا از مسیر اپراتور دیگری برسد، ترجمه و پالایشش ممکن است با اولی همخوان نباشد، و انجمن شاید نیاز به بازسازی داشته باشد نه مهاجرت.

وضعیت ترجمه نشانی شبکه قربانی معمول تغییر WAN است. اتصال برگزیده، نشانی مبدأ بیرونی مورد انتظار، ترجمهٔ در حال استفاده و دسترسی همتا به آن را ثبت کنید، سپس انتقال را دسترس‌پذیر نگه دارید بدون فرستادنش به تونلی که آن را حمل می‌کند.

هر دو لایه را با دو ضبط بررسی کنید

یک ضبط روی رابط WAN و یکی درون تونل، پرسش را سریع‌تر از هر مقایسهٔ پیکربندی حل می‌کند. آن‌ها را از دروازه اجرا کنید در حالی که یک کارخواه تأییدشده یک درخواست انجام می‌دهد، و هر دو پرونده را نگه دارید.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

ضبط نخست باید نشان دهد گفتگوی بیرونی رابطی را که در نظر داشتید ترک می‌کند، با نشانی مبدأ مورد انتظار. دومی باید گفتگوی درونی را یک بار نشان دهد، نه تکراری، با نشانی کارخواه به‌عنوان مبدأ و سرور برنامه به‌عنوان مقصد. جست‌وجوی مسیر تأیید می‌کند روتر برای آن جفت مبدأ و مقصد از کدام جدول استفاده می‌کند، و خطای سیاست معمولاً همان‌جا ظاهر می‌شود. اگر هر یک از ضبط‌ها پدیدار نشود، نقطه تصمیم جای دیگری جز جایی است که قاعده به آن وصل شده، و اصلاح به همان‌جا تعلق دارد نه به تطبیق گسترده‌تر.