An dara foshruth a chur le VPN idir shuíomhanna: dhá chonair
Teastaíonn roghnóirí comhoiriúnacha ar an dá thaobh ó tholláin atá bunaithe ar pholasaí; teastaíonn bealach ó na cinn atá bunaithe ar bhealaí. Roghnaigh an bealach ceart agus deisigh an bealach fillte ar dtús.
Tógann sé cúig nóiméad i ndearadh amháin an dara foshruth a chur le tollán idir shuíomhanna atá ag obair, agus beagnach an tráthnóna ar fad sa cheann eile. Nuair a shuiteálann an tollán bealaí do na réimíreanna a ainmníonn tú, cuireann tú bealach leis agus leanann an trácht é. Nuair a chaithfidh sé aontú ar phéire roghnóirí seasta, fanann an réimír nua gan chosaint go dtí go n-aontaíonn an dá thaobh ar phéire comhoiriúnach. Cinneann trí rud do chás: cad a chuireann cumraíocht gach taobh síos i ndáiríre, an ndéantar an trácht a aontaíodh a chúngú go dtí an péire comhoiriúnach is lú, agus cé leis an mbealach fillte don raon nua.
Léigh an t-eithne, ní an lipéad stádais
Tá comhlachas linbh amháin ar a laghad suiteáilte ag tollán a thuairiscíonn nasc, ach ní gá gurb é an ceann a cheapann tú. Ar Linux taispeánann an t-eithne cad a chuirtear i bhfeidhm: liostaíonn ip xfrm policy na péirí roghnóirí, agus taispeánann swanctl --list-sas (nó an ceann níos sine ipsec statusall) cad a d’aontaigh na taobhanna, na roghnóirí tráchta san áireamh i ngach treo. Mura bhfuil an réimír nua in aon cheann acu, tá sí gan chosaint, is cuma cad a deir an comhad cumraíochta.
Cuir é sin i gcomparáid leis an tábla bealaí. I socrú bunaithe ar bhealaí is é gléas an tolláin an chéad chéim eile do na réimíreanna cosanta. Go minic ní bhíonn aon bhealach ar leith ag socrú bunaithe ar pholasaí don fhoshruth i bhfad i gcéin, ach an bealach réamhshocraithe amháin, mar gurb é an polasaí a roghnaíonn an trácht, ní an tábla.
Tolláin bunaithe ar pholasaí: caithfidh an dá thaobh an réimír nua a liostú
I dtéarmaí strongSwan tá an roghnóir i local_ts agus remote_ts faoin gcumraíocht linbh, comharbaí leftsubnet agus rightsubnet. Caithfidh an réimír nua teacht chun solais ar an dá thaobh go scáthánach: an rud a thugann suíomh A air féin, tugann suíomh B i bhfad air. Is annamh a thugann easaontas earráid ghlan. Cúngaíonn na taobhanna go dtí an trasnú, leanann an tseanréimír uirthi ag obair agus ní theipeann ach ar an gceann nua go ciúin.
swanctl --load-conns
swanctl --initiate --child <child-name>
swanctl --list-sas
ip xfrm policyAr pfSense nó OPNsense ciallaíonn sé sin dara hiontráil Phase 2 a phéireálann an foshruth áitiúil nua leis an gceann i bhfad nua, agus ansin cur i bhfeidhm. Coinnigh an tseaniontráil; má dhéanann tú í a athsholáthar aistrítear an bunfhoshruth in ionad é a chur leis. Má chlúdaíonn Phase 2 atá ann cheana oll-líonra mar 0.0.0.0/0 nó raon achoimrithe, ná cuir iontráil níos cúinge in aice léi: suiteálann roghnóirí forluiteacha polasaithe iomaíocha agus cinneann ord an mheasúnaithe cé a bhuann.
Déanann IKEv1 Phase 2 dá chuid féin de gach péire foshruth, agus caitheann taobh a ghlacann péire amháin in aghaidh an mhalartaithe an chuid eile i leataobh. Is féidir le IKEv2 roinnt péirí roghnóirí a iompar i leanbh amháin, ach amháin má ghlacann an dá chur i bhfeidhm leo. Is é an liosta ó swanctl --list-sas an fhírinne; is iarraidh atá sa rud a chlóscríobh tú.
Tolláin bunaithe ar bhealaí: is é an bealach an polasaí
Iompraíonn comhéadan XFRM nó gléas VTI trácht de réir an tábla bealaí. Díríonn tú an réimír nua ar an ngléas ar an dá shuíomh, agus cuirtear an staid atá ceangailte le claochlú an chomhéadain i bhfeidhm. Níl aon phéire roghnóirí le sioncronú, agus is ar an ábhar sin a dhéanann an dearadh seo scálú níos fearr de réir mar a mhéadaíonn foshruthanna. Téann treoir seachadta strongSwan tríd an taobh eithne go mion.
ip route add 192.168.60.0/24 dev xfrm0
ip route get 192.168.60.10Téann WireGuard níos faide. Is é AllowedIPs an liosta ceada cripte ag an am céanna agus, trí wg-quick, iontráil an tábla bealaí. Cuir an réimír le taobh amháin agus gheobhaidh tú croitheadh láimhe, paicéid amach agus tost, mar chaithfidh an taobh i bhfad paicéid a bhfuil a bhfoinse as a liosta. Athsholáthraíonn an fhoirm wg set an liosta ar fad, mar sin athluaigh na réimíreanna a d’oibrigh cheana nó gearrfaidh tú amach iad:
wg set wg0 peer <PUBKEY> allowed-ips 192.168.10.0/24,192.168.60.0/24
ip route add 192.168.60.0/24 dev wg0Níl an dara ordú sin roghnach nuair a d’úsáid tú wg set in ionad wg-quick. Glacann an t-eithne leis an liosta nua láithreach, ach ní chuireann aon rud bealach leis, mar sin téann trácht a ghintear go háitiúil amach tríd an réamhghéata fós. Sin an chúis is coitianta a n-oibríonn foshruth WireGuard nua ó óstach an tolláin agus nach n-oibríonn ó ríomhaire glúine.
Teipeann ar an mbealach fillte níos minice ná ar an tollán
Caithfidh óstaigh ar an bhfoshruth i bhfad nua freagraí a sheoladh ar ais trí ghéata an VPN. Nuair nach é an geata sin a ródaire réamhshocraithe, téann an freagra chuig ródaire an LAN, a chaitheann amach é nó a sheolann ar aghaidh chuig an idirlíon é le seoladh foinse príobháideach. Tástáil ó óstach ar an taobh i bhfad seachas ón ngeata: taispeánann ip route get 10.30.20.15 ar Linux nó Find-NetRoute -RemoteIPAddress 10.30.20.15 i PowerShell an chéad chéim eile a úsáidfidh an t-óstach i ndáiríre. Mura é an freagra deireadh an tolláin, cuir bealach statach leis an réimír nua ansin.
Is rogha dhlisteanach é NAT foinse ar an suíomh a bhfuil an bealach fillte in easnamh air, agus is mar sin a sheachnaíonn go leor imscartha hub-and-spoke teagmháil le gach freastalaí. Cuir i bhfeidhm é ar an réimír nua ag geata an taobh sprice freisin:
iptables -t nat -A POSTROUTING -s 10.30.20.0/24 -d 192.168.60.0/24 -j MASQUERADETá an costas fíor. Stopann logaí i bhfad ag taispeáint seoltaí foinse aonair, agus tagann rialacha an bhalla dóiteáin atá bunaithe ar an mbunfhoshruth le chéile in aon riail amháin don gheata. Roghnaigh é sin d’aon ghnó, ní mar go raibh bealach in easnamh.
Is é an balla dóiteáin an leath eile den bhealach fillte. Ní leathnaíonn gléiseanna bunaithe ar chriosanna crios comhéadain tolláin atá ann cheana chuig foshruth nua go huathoibríoch, agus ní thagann riail a scríobhadh don tseanréimír le chéile leis. Cuir an foshruth nua leis an gcrios nó leis an bpéire rialacha sa dá threo sula gcuireann tú an locht ar IPsec.
Cinneadh le trí cheist, ansin fíoraigh le trácht
An leagan gasta: an ainmníonn cumraíocht an taobh réimíreanna (bunaithe ar pholasaí), nó an ndéantar trácht a ródú isteach i gcomhéadan (bunaithe ar bhealaí)? An liostaíonn an dá cheann an réimír nua? An bhfuil bealach ar ais ón bhfoshruth nua chuig an mbunraon foinse?
| Tunnel style | Where the prefix goes | What breaks if you skip it |
|---|---|---|
| Policy-based IPsec | Selector pair on both peers | Old subnets work, the new one fails with no clear error |
| Route-based XFRM or VTI | Route into the device on both sites | Packets routed but not transformed, or the state never matches |
| WireGuard | AllowedIPs on both peers plus a route | Handshake succeeds, replies are dropped |
| Overlapping supernet | Adjust the existing entry instead | A shadowed policy wins or loses by evaluation order |
Is é an fíorú an áit a ndúntar an chuid is mó de na hathruithe ró-luath. Is beag a chruthaíonn ping ón ngeata, mar seolann an geata óna bhun féin agus is minic a thagann sé le polasaí difriúil ó pholasaí óstaigh. Déan ping ó óstach ar an bhfoshruth nua, ansin rith an feidhmchlár ba chúis leis an athrú, agus féach ar chuntair seachas ar dheilbhín stádais.
tcpdump -ni any host 192.168.60.10 and (esp or udp port 4500)
ip xfrm state
wg showAr thollán bunaithe ar pholasaí ba cheart do chuntair ip xfrm state ardú sa dá threo; ciallaíonn cuntair chothroma go ndéantar an paicéad a ródú ach nach roghnaítear é. Ar WireGuard tuairiscíonn wg show aistriú de réir taobh, agus díríonn croitheadh láimhe gan aon bheart faighte ar liosta an taoibh i bhfad nó ar a bhealach fillte.
Críochnaigh tríd an réimír, roghnóir nó bealach an taoibh, an cinneadh faoin mbealach fillte agus iontráil an bhalla dóiteáin a thaifeadadh leis an gcuid eile d’inbhearthan an tolláin. Ansin atosaigh geata amháin agus tástáil arís: imíonn bealach a cuireadh leis de láimh, agus níor cheart don chéad duine eile é a athaimsiú.