Ien NIC of twa? Hoe't jo de ynterface-yndieling fan in VPN-tsjinner kieze

Ien fysike adapter is genôch foar in protte VPN-tsjinners, en it is ek gjin universeel ûntwerp. De fersifere ferbining komt op dy adapter oan, it VPN-proses ûntsiferet it, en it binnenferkear giet fuort troch in firtuele ynterface foardat it in pleatslike tsjinst of in rûtearre LAN berikt. Oft dat wurket hinget fan trije betingsten ôf: wêr't de bestimming leit, oft de LAN in weromweis nei de kliïntepoel hat, en oft ien dielde fysike keppeling jo de isolaasje jout dy't jo beweare. Beäntwurdzje dy trije en it tal adapters folget.

De trije betingsten dy't it beslisse

De earste betingst is de bestimming. In tsjinst op 'e VPN-host sels is allinnich fia de tunnel-ynterface berikber, wylst in host op 'e LAN trochstjoering en in weromweis freget. De twadde betingst is dy weromweis, om't it LAN-apparaat witte moat hoe't it de kliïntepoel berikt, itsij fia in rûte, itsij fia oersetting op 'e tsjinner.

De tredde betingst is skieding. Ien adapter betsjut dat elk pakket, fersifere of net, ien keppeling en meastentiids ien beliedsketting dielt, dus in isolaasjebewearing dy't fan aparte hardware ôfhinget, wurdt net troch ien ynterface ferfold. Dat is in feit oer it paad, net oer hoe't it bestjoeringssysteem konfigurearre is. Jo kinne it tunnelferkear noch filterje, mar jo kinne gjin grins beweare dy't jo net hawwe.

Gjint fan 'e trije giet oer it tal poarten op 'e kast. Se geane oer routing, eigendom fan adressen en hoefolle it ûntwerp fan fysike skieding ôfhinget.

Twa adapters bliuwe in legitime kar as fysike sônes, aparte uplinks, trochfier of in bûtenbânse werstelweis it rjochtfeardigje. Dat binne konkrete easken, en it is de muoite wurdich se te neamen foardat immen hardware bestelt.

As de tsjinst op 'e VPN-host draait

It simpelste gefal hat hielendal gjin trochstjoering nedich. De daemon ûntfangt de pakketten fan 'e kliïnt op 'e tunnel-ynterface en jout se oan in pleatslike socket, en it antwurd giet fia deselde ynterface werom. It adres fan 'e kliïntepoel is in echt pleatslik adres foar de host oer.

Twa dingen moatte dochs goed wêze: de tsjinst moat lústerje op in adres dat de tunnel berikke kin, en de firewall fan 'e host moat ferkear akseptearje dat op 'e tunnel-ynterface oankomt. Beide binne te sjen yn 'e kommando's hjirûnder.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

In tsjinst allinnich oan it iepenbiere adres bine, of de tunnel-ynterface by fersin filterje, leveret in ferbining op dy't de host berikt en dan stjert. Dat liket op in VPN-flater en is meastentiids in socket- of firewallbeslissing.

As de bestimming op 'e LAN leit

Hjir fertsjinnet in ien-adapterûntwerp syn reputaasje fan dreech. De tsjinner moat de pakketten fan 'e kliïnt nei de LAN trochstjoere, en it LAN-apparaat moat antwurden weromstjoere nei de kliïntepoel. Of jo drage dy poel as in rûte op 'e LAN, of jo sette it boarneadres op 'e tsjinner oer, sadat antwurden by de tsjinner sels weromkomme.

Beide antwurden binne legitime en se falle ferskillend. In weromrûte hâldt it oarspronklike kliïntadres sichtber foar de bestimming, wat goed is foar logboeken en min foar firewallregels dy't LAN-adressen oannimme. Oersetting hâldt de LAN ienfâldich en ferberget de identiteit fan 'e kliïnt foar de bestimming.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

In asymmetrysk paad is it klassike symptoom: it fersyk fan 'e kliïnt komt oan, it antwurd giet fia in oare router fuort, en de ferbining ferrint sûnder flater oan beide kanten. Fange oan beide kanten foardat jo wat oer de tunnel konkludearje.

Wêrom't in alias gjin twadde sône makket

In twadde adres oan deselde adapter tafoegje, of in dummy-ynterface meitsje om in twadde poart nei te bearen, feroaret hiel lyts. De pakketten geane noch altyd fia deselde fysike keppeling, deselde switchpoart en meastentiids deselde firewallketting fuort, dus der is gjin nije grins tusken har. It is konfiguraasjegemak, gjin segmintearring. It as sônegrins behannelje is hoe't in isolaasjebewearing allinnich op papier oerlibbet.

In aparte sône hat in echte skieding yn it paad nedich, en dat is de eask dy't in twadde adapter ferfollet. As in regel derfan ôfhinget dat VPN-rjochte ferkear nea in broadcastdomein dielt mei LAN-rjochte ferkear, kin ien kabel dy eigenskip net leverje, hoe't de host ek adressearre is.

Wêr't in produkt in multi-ynterface-topology foar in bepaalde modus dokumintearret, folgje de dokumintaasje fan dat produkt ynstee fan in omwei te betinken. Leveransiers feroarje ek har stipe topologysen tusken ferzjes, wat in oare reden is om de aktuele gids te lêzen ynstee fan in âld assistint-skermprint.

Kontrolearje de yndieling tsjin it ferkear dat jo tastean

Lis de ferkearsklassen op dy't de tsjinner drage moat: kliïnt nei host, kliïnt nei LAN, host nei LAN en de fersifere bûtenferbining. Eltse klasse hat in boarne, in bestimming en in ynterface, en de yndieling moat alle fjouwer tagelyk ferfolje. In ûntwerp dat trije fan har oan kin, is meastentiids dat wat tickets oanmakket.

Befêstigje dan de werklike ynterfaces en de werklike opname, net it diagram yn it ûntwerpdokumint. De kommando's hjirûnder printsje beide bylden.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

As de bûtenopname it fersifere ferkear sjen lit en de binnenopname it ûntsifere ferkear op 'e tunnel-ynterface, wylst de fysike adapter beide draacht, docht ien NIC it wurk. As de binnenopname leech is, sit it probleem yn 'e tunnel of yn 'e trochstjoerregels, net yn it tal adapters. Beslis de topology út dy beide opnames en de routingtabel, en de folgjende feroaring hat wat om tsjin te mjitten.