Hokker pakket moat in VPN-belied mei twa WAN's passe?

Fersiken om de VPN oer de twadde uplink te lieden beskriuwe teminsten twa ferskillende taken, en it belied dat de iene oplost, rekket de oare net oan. Yn de earste taak ferhuzet it fersifere ferfier tusken twa einpunten nei in oar WAN-adres. Yn de twadde giet de ûntsifere applikaasjestream fan in ferbûne brûker nei in oare folgjende hop. Beide binne legit, beide brûke routing, en elk hat in oerienkomst nedich op in pakket dat bestiet op it punt dêr't de beslissing fallen wurdt. Rin de kontrôles hjirûnder yn folchoarder troch, want de earste bepaalt hokker pakket lettere regels neame moatte.

Neam de twa petearen

Stel jo in fiere meiwurker foar dy't oan in kantoarpoarte ferbûn is en HTTPS nei in ynterne applikaasjeserver iepenet. Der steane twa ûnôfhinklike petearen op de tried, en se hawwe oan elk ein ferskillende adressen. It bûtenste petear rint tusken de twa VPN-einpunten: fan it poarte-adres nei it peer-adres, yn hokker protokoll en poart de útrulling ek ûnderhannele hat. It binnenste petear rint fan it adres dat de klant krigen hat nei it adres fan de applikaasjeserver op poart 443.

De bestimmingspoart fan de applikaasje is net de ferfierspoart fan de VPN, en gjin hoemannichte belied op TCP 443 sil de tunnel ferpleatse. Likegoed seit in regel dy't it ferfieradres fan de peer omleit neat oer wêr't de HTTP-fraach fan dy brûker nei ûntsifering hinne giet. Skriuw beide petearen mei har echte adressen op foardat jo in regel oanreitsje, want it measte betizing yn dit mêd komt derfan dat men de iene neamt en de oare konfigurearret.

Fyn wêr't jo belied it pakket echt sjen kin

De oerienkomst moat evaluearre wurde yn de keatling en nammeromte dêr't it pakket noch yn de foarm is dy't jo beskreau. In regel oan de LAN-yngong sjocht it binnenste pakket ûnfersifere, foardat it nei de tunnel rûte wurdt. In regel tapast op lokaal oanmakke ferkear sjocht pakketten dy't de poarte sels makket, en it dekt net automatysk ferkear dat de poarte allinnich trochstjoerd. Ynkapsle útfier is wer in tredde gefal, meastentiids behannele op it ynterface dat de tunnel draacht en net oan de LAN-kant.

Dêrom gedraacht itselde konfiguraasjestikje him oars op twa platfoarms: de oanhingpunten ferskille, en de beliedshook fan in leveransier kin foar of nei de fersiferingsstap sitte. Lês it pakketpaad foar it konkrete produkt ynstee fan de folchoarder út de diagram fan in oare leveransier oan te nimmen.

Befêstigje it ferfier dat jo ûnderhannele hawwe

Foar UDP-ynkapsle IPsec pleatst RFC 3948 ESP yn UDP en brûkt in markearring dy't gjin ESP is om IKE ûnderskiedber te hâlden op de dielde poart. Gewoane ESP is in IP-protokol, gjin TCP- of UDP-poart, dus in firewallregel skreaun tsjin in poartnûmer sil it hielendal net passe. Dit ûnderskie bepaalt oft jo WAN-belied in UDP-regel, in protokolregel of beide nedich hat.

Ûnderhannele wearden winne fan ûnthâlden wearden. Lês de hjoeddeistige poarten en adressen fan de assosjaasje fan it apparaat ynstee fan TCP 4500 of in âlde leveransierspoart foar de feilichheid ta te foegjen, wat ûnbesibbe ferkear fangt en it echte klassifikaasjeprobleem ferberget.

Kontrolearje it werompaad foardat jo jo fêstlizze

Súkses nei bûten bewiist de helte fan in ûntwerp. In pakket dat weromkomt nei it swimbad fan fiere klanten is net langer sichtber ûnder it adres fan de klant sadree't ynkapseling it ferfangt: de bûtenste bestimming is it ferfieradres fan de peer. As de twadde uplink dy peer troch in oare ferfierder berikt, kinne syn oersetting en filtering it net iens wêze mei de earste, en de assosjaasje moat miskien opnij boud wurde yn stee fan migrearre.

De tastân fan netwurkadresoersetting is it gewoane slachtoffer fan in WAN-wiksel. Skriuw de keazen uplink, it ferwachte bûtenste boarne-adres, de oersetting yn gebrûk en de berikberens fan de peer werom dêrhinne op, en hâld dan it ferfier berikber sûnder it yn de tunnel te stjoeren dy't it draacht.

Ferifiearje beide lagen mei twa opnames

Ien opname op it WAN-ynterface en ien yn de tunnel besljochtsje de fraach flugger as hokker konfiguraasjefergeliking ek. Rin se fan de poarte wylst in goedkarde klant ien fersyk docht, en bewarje beide bestannen.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

De earste opname moat it bûtenste petear sjen litte dat it ynterface ferlit dat jo bedoelden, mei it ferwachte boarne-adres. De twadde moat it binnenste petear ien kear sjen litte, net dûbele, mei it klantadres as boarne en de applikaasjeserver as bestimming. De rûtesykjefunksje befêstiget hokker tabel de router foar dat boarne-bestimming-pear brûke soe, en dêr fiert in beliedsflater him meastentiids. As ien fan de opnames net ferskynt, is it beslissingspunt earne oars as dêr't de regel oanhingen is, en de reparaasje heart dêr en net yn in bredere oerienkomst.