Wa antwurdet eins op it tawijde adres fan 'e VPN?

In adres dat ûnbrûkt yn 'e tawizing fan 'e organisaasje bliuwt, is gjin lústerder, en it tafoegjen oan in fjoermuorre makket der gjinien. Iets moat IKE op dat adres beëinigje, en it meganisme ferskilt of de gateway it adres hat of in apparaat boppestreams it oerset. It pakketpaad is wat de beide ûnderskiedt, en it beslút hokker platfoarmfunksje jo nedich hawwe foardat immen in feroaringsfersyk iepenet. Modellearje earst it paad, en kies dan.

It pakketpaad efter it adres

In peir stjoert IKE nei it adres dat er krigen hat, op UDP 500 of op UDP 4500 as NAT-trochgong yn it spul is. Hokker apparaat dat adres op it paad ek hat, it ûntfangt it datagram lokaal en antwurdet derop, of it stjoert it earne oars hinne. Dat binne de iennige twa mooglikheden, en al it oare yn dit artikel folget út hokker wier is.

Lokaal ûntfangen betsjut dat der in socket op dat apparaat bestiet, bûn oan dat adres. Trochstjoeren betsjut dat it datagram oerskreaun en fierder nei in oar einpunt stjoerd wurdt, dat dan de socket hat. In fjoermuorrefergel dy't UDP 500 tastiet, fertelt jo neat oer hokker fan 'e beide bart.

Skriuw it register foardat jo eat oanreitsje: it adres dat peiren kontaktje, hoe't it netwurk boppestreams it leveret, de lokale ynterface of it logyske einpunt dat it ûntfangt, en it proses dat IKE antwurdet. Fjouwer rigels, en eltse is kontrolearber. As ien fan har ûnbekend is, is dat ûnbekende it ûntwerpwurk en net in ymplemintaasjedetail om letter op te lossen. Se ynfolje nei't it feroaringsfersyk goedkard is, is hoe't in oersettingsregel by it ferkearde apparaat telâne komt.

Model A: de gateway hat it adres

Yn it earste model hat de gateway it adres sels, itsij as sekundêr adres op in besteande ynterface, as adres op in tawijd ynterface, of as loopback dy't it platfoarm as tunnel-einpunt stipet. Dat binne trije ferskillende funksjes mei trije ferskillende konfiguraasjepaden, en in platfoarm dat ien stipet, stipet miskien de oaren net.

Befêstigje dat it platfoarm en de ferzje krekt dy opstelling stypje foardat jo derom hinne ûntwerpe. In rûte blok, in ekstra adres op in ynterface en in loopback-einpunt binne net útwikselber, en dokumintaasje foar ien ferzje ûnthjit net dat de folgjende itselde docht.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

De lústerjende socket is it bewiis. As der neat oan it adres bûn is, is de gateway net de beëinigjer, wat de rûtetabel ek seit, en in pakketopname sil sjen litte dat de datagrammen oankomme mei neat dat se antwurdet.

Set gjin twadde ynterface yn in subnet dat al earne oars yn 'e topology bestiet en nim net oan dat it platfoarm it oplost. Oerlaapjende ynterface-subnetten leverje dûbelsinnige boarnekar en, op in protte platfoarms, in folsleine wegering om te konfigurearjen.

Model B: in apparaat boppestreams oerset it

Yn it twadde model hat in fjoermuorre boppestreams it tawijde adres en stjoert it ferkear troch nei in oare VPN-gateway. Dat is in bestimmingsoersetting mei in werompaad, en it is in folslein jildich ûntwerp salang't it as sadanich dokumintearre is.

Wat it net is, is bewiis dat it apparaat boppestreams in lokale VPN-socket krigen hat. De oersetting stjoert pakketten troch; it makket de boppeste bak net in IKE-antwurder. As de regel boppestreams fuorthelle wurdt of syn werompaad brekt, stoppet de VPN ek al is de gateway sûn en syn eigen lústerders yntakt.

Registrearje beide adressen: dy't peiren kontaktje en dy't de gateway wier sjocht. Registrearje dan it ferfier en it werompaad, want in oersetting dy't foar UDP 500 wurket mar net foar ynkapsulearre ESP sil ferbine en dan ferkeare om ferkear te dragen, wat in ferwarrende flater is om letter te ûntbugen.

Identiteit is net it bûtenadres

IPsec skiedt it tunnel-einpunt fan it ferkear dat it beskermet, en de arsjitektuer hâldt dy besluten op ferskillende plakken. It adres feroarje dat peiren kontaktje feroaret net automatysk hokker binnenprefixen tastien binne, hokker rûtes ynstallearre wurde of hokker boarnen de sesje berikke kin.

De autentisearre identiteit is wer apart. IKEv2 draacht in identiteitslading en in autentikaasje-útwikseling dy't net oerien hoecht te kommen mei it bûtenpakketadres, en dêrom krekt kin in oerset ûntwerp noch altyd goed autentisearje.

Dy ûnôfhinklikens is nuttich en ek in falstrik. Twa DNS-nammen dy't nei ien gewoane lústerder oplosse, selektearje net ferskillende VPN-backends, en in sertifikaat dat ien identiteit neamt sil in peir dat in oare ferwachtet net foldwaan. Befêstigje wat it peir falidearret foardat jo oannimme dat it adres allinnich dat beslút.

Akseptearje it ûntwerp troch ien ferbining te besjen

Undersykje wêr't in nije autorisearre ferbining wier levere wurdt, hokker identiteit antwurdet en hokker prive-stroom dan tastien is. Trije waarnimmings, trije ferskillende lagen, en in suksesfolle iepenbiere opfrege fan it adres testet gjinien fan har.

Hâld ek it negative gefal: in peir dat net akseptearre wurde moat, of in binnenprefix dat net berikber wêze moat, ferifiearre nei de feroaring. It register dat jo oan it begjin skreau is wat dy test mooglik makket sûnder it ûntwerp út 't ûnthâld wer op te bouwen.

It punt fan dit alles is de netwurkeigner in stipe tawizingsmetoade kieze te litten yn stee fan te fertrouwen op in algemiene bewearing oer wat elke fjoermuorre mei in ekstra adres dwaan kin. Krekt dy bewearing is wêr't dizze ûntwerpen misse, want it klinkt leauwich op elk platfoarm en is oer it algemien op gjinien wier. It register fan fjouwer rigels beslist dat foar jo platfoarm yn tsien minuten.