L2TP, GRE nó IPsec: cén ciseal ba cheart an seisiún a iompar?

Tagann dhá cheist ina chéile gach uair a thagann L2TP, GRE agus IPsec le chéile i nóta dearaidh amháin: cén seisiún atá á iompar agam, agus cén ciseal a chosnaíonn é? Má dhéantar an chéad cheann mícheart, fanfaidh gach rud síos an sruth go hinmheánach comhsheasmhach agus réiteach á fháil ar an bhfadhb mhícheart — forleagan ródaithe tógtha san áit a raibh ar úsáideoirí diailithe isteach, nó lárphointe diailithe ag seasamh in ionad geata idir shuíomhanna. Cuireann an bhileog oibre thíos an t-idirdhealú sin i bhfeidhm sula logáiltear isteach d'aon ghléas. Líon isteach in ord é agus beidh gach líne ina rud ar féidir leat a thástáil ina aonar.

Tosaigh ón seisiún, ní ón liosta prótacal

Is caidrimh ghréasáin éagsúla iad úsáideoir cianda a bhfuil seisiún PPP aige agus forleagan ródaithe idir dhá gheata, fiú má chuirtear an dá cheann i IPsec sa deireadh. Cuireann an chéad cheann deireadh le nasc in aghaidh an úsáideora agus teastaíonn sannadh seoltaí, fíordheimhniú duine nó gléis, agus beartas a ainmníonn cé na líonraí inmheánacha a bhféadfaidh an t-úsáideoir sin rochtain a fháil orthu. Seolann an dara ceann paicéid idir suíomhanna nach ndiailíonn aon duine isteach iontu.

Scríobh abairt amháin a ainmníonn cé acu den dá rud atá á thógáil agat, ansin léigh ar ais í amhail is tú an duine a chaithfidh í a oibriú. Má theastaíonn an focal «agus» ón abairt, tá an dá rud á dtógáil agat, agus teastaíonn dhá cholún ón mbileog oibre in ionad aon cholúin chomhréitigh a fhreastalaíonn go leathchúiseach ar gach ceann. Má ainmnítear úsáideoir ach gan aon linn seoltaí, nó réimír ach gan beartas seolta, tá an abairt fós neamhiomlán. Fuaimeann an fhoclaíocht mar rud maorlathach, ach is é seo an áit is saoire chun dearadh a ghabháil a fhionnfaí ar shlí eile trí thicéad deisce cabhrach.

Tabhair cúram amháin go beacht do gach ciseal

Iompraíonn L2TPv2 seisiúin PPP idir a dhá chríochphointe. Ritheann PPP an chaibidlíocht naisc agus, nuair a dhéantar í, fíordheimhniú an úsáideora; Ní chuireann L2TP aon chripteagrafaíocht leis, mar sin ní chuireann daemon L2TP lom aon chuid den chaidreamh slándála IPsec i bhfeidhm agus ní bhaineann sé ach le nasc a bhfuil muinín agat as cheana.

Is ionchasú idir dhá sheoladh é GRE. Iompraíonn sé paicéid chiseal an ghréasáin thar fhorleagan loighciúil agus, as féin, ní thairgeann sé rúndacht ná féiniúlacht piaraí fhíordheimhnithe. Ní locht é sin: dearadh an ceannteideal le bheith simplí ionas go bhfanfaidh sé saor le próiseáil ar chrua-earraí seolta. Is é an toradh go bhfreagraíonn GRE don cheist «conas an paicéid seo a bhogadh idir dhá sheoladh» agus do rud ar bith eile, agus sin go beacht an cheist ar cheart duit a chur air.

Fágann sin IPsec mar an ciseal a roghnaíonn trácht, a fhíordheimníonn na piaraí agus a chriptíonn an rud a dúradh leis a chosaint. Is cinneadh cumraíochta é cé acu trácht a chosnaíonn sé, agus caithfidh sé sin teacht leis an ionchasú a ghineann na críochphointí i ndáiríre, mar go n-iompraíonn beartas a scríobhtar do sheoladh seachtrach GRE go difriúil le ceann a scríobhtar do na réimírí inmheánacha. Sonraíocht GRE coinnítear an t-ualach, ceannteideal GRE agus an prótacal seolta amuigh gan dealú soiléir, agus teastaíonn an deighilt chéanna ó do bheartas.

Scríobh cosán an phaicéid roimh an gcóras

Tóg paicéad amháin agus liostaigh gach ceannteideal a chuirtear leis, san ord a gcuirtear leis, agus ainmnigh an ghléas a chuireann leis é. D'úsáideoir diailithe is iondúil gurb é PPP taobh istigh de L2TP taobh istigh de IPsec; do fhorleagan suímh is é an paicéad IP inmheánach taobh istigh de GRE taobh istigh de IPsec. Má chuireann dhá ghléas an ceannteideal céanna leis, tá lúb nó tollán dúblaithe agat, agus ní cheartóidh aon mhéid eagarthóireachta beartais é.

Socraíonn an liosta céanna an MTU freisin, mar gurb é an méid inmheánach inúsáidte an MTU cosáin tomhaiste lúide na ceannteidil a liostaigh tú díreach, agus rud ar bith eile. Ná cóipeáil uimhir ó phost fóraim: suimigh na forchostais sheachtracha IP, UDP agus ESP, ansin GRE nó L2TP, ansin PPP san áit a mbaineann sé, agus dealaigh ón MTU cosáin a thomhais tú i ndáiríre. Na hairíonna a thagann chun solais ach amháin ar aistrithe móra, nó seisiúin a bhunaítear agus a fhaigheann bás ar an gcéad fhreagra mór, is iondúil go leanann siad siar chuig an suimiú sin a dhéantar trí mheas.

Seiceáil gach ciseal ar leithligh, ón taobh amuigh isteach

Rith na seiceálacha in ord agus stop ag an gcéad cheann a theipeann. Freagraíonn gach líne ceist éagsúil, mar sin díríonn teip ar aon cholún amháin den bhileog oibre in ionad a rá leat go bhfuil an tollán briste.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Ar bhosca Cisco braitheann an comhionannas ar an ról, agus braitheann an chomhréir bheacht ar an ardán agus ar an eisiúint: show crypto session do na piaraí IPsec, cuntair chomhéadain don GRE nó don chomhéadan tolláin, agus an fhíorú VPDN nó PPP don ról diailithe. Ní chruthaíonn tacar ordú a chuireann deireadh le PPP aon rud faoi thacaíocht GRE, agus ní chruthaíonn comhéadan GRE atá ag obair aon rud faoin tseirbhís PPP, mar sin fíoraigh an ról a chumraigh tú i ndáiríre seach an ceann atá sa léaráid.

Taifead gach aschur in aice na líne bileoige oibre lena mbaineann sé. Is fiú níos mó nótaí a thógtar agus an locht beo ná topology a atarraingtear níos déanaí ó chuimhne.

Ordaigh an scartáil, ansin athfhíoraigh

Ritheann an scartáil ina chomhair ar chúis: tóg an trácht cosanta amach as beartas IPsec sula mbaineann tú an t-ionchasú ar scríobhadh é ina choinne, nó fanfaidh an beartas ag díriú ar chomhéadan nach bhfuil ann a thuilleadh agus teipfidh an chéad lódáil cumraíochta eile in áit a bhféachann sé neamhghaolmhar. Ar Linux ciallaíonn sé sin na taifid staid agus beartais a scriosadh roimh an gcomhéadan tolláin; ar ródaire, an taifead crypto map nó próifíle a bhaint roimh an tollán.

Tar éis an atógáil, déan na ceithre bhreathnóireacht ghlactha a athrá ceann ar cheann: inrochtaineacht sheachtrach, comhlachas IPsec bunaithe, seisiún PPP bunaithe nuair a chuimsíonn an dearadh ceann, agus seoladh inmheánach chuig fíorsheoladh sprice. Ní fianaise ar na trí cinn eile é solas glas amháin, agus is é an bhearna sin an teip is faide a mhaireann i dtáirgeadh — tollán atá suas, criptithe, agus nach seolann aon rud mar nár cuireadh an bealach inmheánach leis riamh.

Coinnigh an bhileog oibre líonta in aice chumraíocht an ghléis. Is ciseal gan chúram sannta aon cholún nach féidir leat a líonadh, agus is iondúil nach ceart ciseal gan chúram sannta a bheith sa chruach.