Kuka oikeastaan vastaa VPN:n dedikoidusta osoitteesta?

Osoite, joka seisoo käyttämättömänä organisaation allokaatiossa, ei ole kuuntelija, eikä sen lisääminen palomuuriin luo sellaista. Jonkin täytyy päättää IKE kyseisessä osoitteessa, ja mekanismi vaihtelee sen mukaan, omistaako yhdyskäytävä osoitteen vai kääntääkö ylävirran laite sen. Juuri paketin reitti erottaa nämä kaksi, ja se määrää, mitä alustan ominaisuutta tarvitset ennen kuin kukaan avaa muutospyynnön. Mallinna reitti ensin ja valitse sitten.

Osoitteen takana oleva paketin reitti

Vastapuoli lähettää IKE:n sille annettuun osoitteeseen, UDP 500:ssa tai UDP 4500:ssa, kun NAT-läpäisy on pelissä. Mikä tahansa laite, joka pitää tätä osoitetta reitillä, joko vastaanottaa datagrammin paikallisesti ja vastaa siihen tai välittää sen muualle. Nämä ovat ainoat kaksi mahdollisuutta, ja kaikki muu tässä artikkelissa seuraa siitä, kumpi on totta.

Paikallinen vastaanotto tarkoittaa, että laitteella on tähän osoitteeseen sidottu socket. Välittäminen tarkoittaa, että datagrammi kirjoitetaan uudelleen ja lähetetään eteenpäin toiselle päätepisteelle, jolla socket sitten on. Palomuurisääntö, joka sallii UDP 500:n, ei kerro sinulle mitään siitä, kumpi näistä tapahtuu.

Kirjoita tietue ennen kuin kosket mihinkään: osoite, johon vastapuolet ottavat yhteyttä, miten ylävirran verkko toimittaa sen, paikallinen liitäntä tai looginen päätepiste, joka vastaanottaa sen, ja prosessi, joka vastaa IKE:hen. Neljä riviä, ja jokainen on tarkistettavissa. Kun jokin niistä on tuntematon, se tuntematon on suunnittelutyötä eikä myöhemmin ratkaistava toteutuksen yksityiskohta. Niiden täyttäminen vasta muutospyynnön hyväksymisen jälkeen on se tapa, jolla käännössääntö päätyy väärään laitteeseen.

Malli A: yhdyskäytävä omistaa osoitteen

Ensimmäisessä mallissa yhdyskäytävä pitää osoitetta itse, joko toissijaisena osoitteena olemassa olevassa liitännässä, osoitteena dedikoidussa liitännässä tai loopbackina, jonka alusta tukee tunnelin päätepisteenä. Nämä ovat kolme eri ominaisuutta kolmella eri konfigurointipolulla, eikä yhden tukeminen tarkoita muiden tukemista.

Vahvista, että alusta ja versio tukevat täsmälleen tätä järjestelyä ennen kuin suunnittelet sen varaan. Reititetty lohko, ylimääräinen osoite liitännässä ja loopback-päätepiste eivät ole vaihdettavissa, eikä yhden version dokumentaatio lupaa seuraavan käyttäytyvän samoin.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Kuunteleva socket on todiste. Jos osoitteeseen ei ole sidottu mitään, yhdyskäytävä ei ole päättäjä riippumatta siitä, mitä reititystaulu sanoo, ja paketin tallennus näyttää datagrammien saapuvan ilman mitään, mikä vastaisi niihin.

Älä aseta toista liitäntää aliverkkoon, joka on jo olemassa muualla topologiassa, äläkä oleta, että alusta hoitaa sen. Päällekkäiset liitäntöjen aliverkot tuottavat monitulkintaisen lähteen valinnan ja monilla alustoilla kokonaan kieltäytymisen konfiguroinnista.

Malli B: ylävirran laite kääntää sen

Toisessa mallissa ylävirran palomuuri pitää dedikoitua osoitetta ja välittää liikenteen toiselle VPN-yhdyskäytävälle. Tämä on kohdeosoitteen käännös paluureitillä, ja se on täysin kelvollinen suunnittelu, kunhan se dokumentoidaan sellaiseksi.

Mitä se ei ole, on todiste siitä, että ylävirran laite olisi saanut paikallisen VPN-socketin. Käännös välittää paketteja; se ei tee ylälaatikosta IKE-vastaajaa. Jos ylävirran sääntö poistetaan tai sen paluureitti katkeaa, VPN pysähtyy, vaikka yhdyskäytävä olisi kunnossa ja sen omat kuuntelijat ehjiä.

Kirjaa molemmat osoitteet: se, johon vastapuolet ottavat yhteyttä, ja se, jonka yhdyskäytävä todella näkee. Kirjaa sitten kuljetus ja paluureitti, koska käännös, joka toimii UDP 500:lle mutta ei kapseloidulle ESP:lle, yhdistää ja epäonnistuu sitten liikenteen kuljettamisessa, mikä on hämmentävä vika myöhemmin selvitettäväksi.

Identiteetti ei ole ulompi osoite

IPsec erottaa tunnelin päätepisteen liikenteestä, jota se suojaa, ja arkkitehtuuri pitää nämä päätökset eri paikoissa. Sen osoitteen muuttaminen, johon vastapuolet ottavat yhteyttä, ei automaattisesti muuta sitä, mitkä sisäiset etuliitteet sallitaan, mitkä reitit asennetaan tai mihin resursseihin istunto voi päästä.

Todennettu identiteetti on jälleen erillinen. IKEv2 kuljettaa identiteettihyötykuorman ja todennusvaihdon, joiden ei tarvitse vastata ulompaa paketin osoitetta, ja juuri siksi käännetty suunnittelu voi yhä todentua oikein.

Tämä riippumattomuus on hyödyllistä ja samalla ansa. Kaksi DNS-nimeä, jotka ratkeavat yhdeksi tavalliseksi kuuntelijaksi, eivät valitse eri VPN-taustoja, eikä sertifikaatti, joka nimeää yhden identiteetin, tyydytä vastapuolta, joka odottaa toista. Vahvista, mitä vastapuoli validoi, ennen kuin oletat pelkän osoitteen ratkaisevan sen.

Hyväksy suunnittelu seuraamalla yhtä yhteyttä

Tutki, mihin uusi valtuutettu yhteys oikeastaan toimitetaan, mikä identiteetti vastaa ja mikä yksityinen virta sitten sallitaan. Kolme havaintoa, kolme eri kerrosta, eikä osoitteen onnistunut julkinen haku testaa yhtäkään niistä.

Säilytä myös kielteinen tapaus: vastapuoli, jota ei pitäisi hyväksyä, tai sisäinen etuliite, johon ei pitäisi päästä, varmennettuna muutoksen jälkeen. Alussa kirjoittamasi tietue on se, mikä tekee tämän testin mahdolliseksi ilman suunnittelun rakentamista muistista uudelleen.

Kaiken tämän tarkoitus on antaa verkon omistajalle mahdollisuus valita tuettu allokointimenetelmä sen sijaan, että luotettaisiin yleiseen väitteeseen siitä, mitä kukin palomuuri voi tehdä ylimääräisellä osoitteella. Juuri tuo väite on se kohta, jossa nämä suunnitelmat menevät pieleen, koska se kuulostaa uskottavalta jokaisella alustalla eikä yleisesti pidä paikkaansa yhdelläkään. Neljän rivin tietue ratkaisee sen alustallesi kymmenessä minuutissa.