VPN ó shuíomh go suíomh bunaithe ar ród nó ar pholasaí: cad atá difriúil

Cosnaíonn an dá dhearadh an trácht céanna leis an innealra IPsec céanna, agus ní hionann an rud a shocraíonn cé acu pacáiste a théann isteach sa tollán. I nasc polasaí-bhunaithe is iad na roghnóirí tráchta idirbheartaithe a dhéanann an obair sin; i gceann ród-bhunaithe is é ród a dhíríonn ar chomhéadan tolláin a dhéanann é. Má mheasctar an dá rud, cruthaítear an snáithe tacaíochta aithnidiúil ina dtuairiscíonn an tollán é féin mar bhunaithe agus an feidhmchlár gan rud ar bith a bhaint amach. Is mó a bhaineann an t-idirdhealú le hábhar nuair a chuireann tú líonra leis, nuair a ritheann tú prótacal ródaithe nó nuair a dhífhabhtaíonn tú cosán a fhágann an t-asraon mícheart go ciúin.

Dhá bhealach chun cinneadh a dhéanamh cad a théann isteach sa tollán

Tógann VPN polasaí-bhunaithe polasaí slándála a mheaitseálann réimíreanna foinse agus cinn scríbe, agus ansin criptíonn sé aon rud a oireann. Caithfidh an piara roghnóirí comhoiriúnacha a idirbheartú, mar sin críochnaíonn an raon éifeachtach mar an trasnú idir an rud a mhol an dá thaobh. Níl aon rud lasmuigh den trasnú sin cosanta, is cuma cad a deir an tábla ródaithe.

Cruthaíonn VPN ród-bhunaithe comhéadan a sheasann don tollán agus ligeann don tábla ródaithe trácht a sheoladh isteach ann. Suiteálann an daemon IKE an staid agus an polasaí in aghaidh an chomhéadain i gcónaí, agus sin an mhionsonra a ndéantar neamhaird de nuair a shocraítear go bhfuil róid tar éis an chriptithe a ionadú. Criptíonn an dá dhearadh le IPsec; ní hionann ach an mheicníocht roghnaithe.

Léigh an chomparáid thíos mar shraith sínithe lochtanna seachas mar chlár scóir, mar ní bhuann ceachtar colún as féin.

Polasaí-bhunaithe: is é an roghnóir an conradh

Idirbheartaítear roghnóirí, ní hamháin go ndéantar iad a chumrú. Mol 10.10.0.0/16 ar thaobh amháin agus 10.10.1.0/24 ar an taobh eile, agus clúdóidh an comhlachas an rud ar shocraigh an t-idirbheartú air agus fanfaidh gach óstach eile lasmuigh de.

Léigh an staid suiteáilte seachas an comhad cumraíochta. Ar phiara Linux is iad táblaí an eithne féin an fhírinne bhunúsach, agus taispeánann siad cad a mhair an t-idirbheartú. Ciallaíonn polasaí a ainmníonn na réimíreanna cearta gan staid chomhoiriúnach nár éirigh an comhlachas riamh. Is é staid péirithe le polasaí don réimír mhícheart an fhadhb os coinne, agus cruthaíonn sé an tollán a bhíonn ag breathnú sláintiúil agus fo-líonra amháin gan rud ar bith a bhaint amach.

sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sas

Cuir an dá aschur i gcomparáid leis na réimíreanna a cheapann tú a bheith á gcosaint agat. Réitíonn an t-aon chomparáid sin formhór na dtuairiscí faoi thollán a oibríonn le freastalaí nach féidir a bhaint amach. Cuireann sé in iúl freisin cén piara a athrú, ós rud é nach mbíonn an mhíréir le feiceáil de ghnáth ach i dtreo amháin.

Ród-bhunaithe: is é an comhéadan an conradh

Tugann comhéadan XFRM ainm agus féiniúlacht don tollán, agus sroicheann trácht é mar gheall go ndeir an tábla ródaithe é sin. Ansin éiríonn roinnt réimíreanna i bhfad i gcéin ina bhfadhb ródaithe seachas ina fadhb roghnóra, agus is féidir le prótacal ródaithe iad a fhógairt. Sin an gnóthachan fíor, ní an criptiú.

Ní chuireann an comhéadan deireadh leis an ngá atá le polasaí. Suiteálann an daemon rialacha in aghaidh an chomhéadain atá ceangailte le féiniúlacht an chomhéadain, mar sin teipeann ar phacáiste a thagann ar an gcomhéadan mícheart fós. Teipeann freisin ar sheoladh foinse nach nglacfaidh an piara leis, fiú le ród fhoirfe. Ciallaíonn ród-bhunaithe gurb é an ród a shocraíonn an t-iontráil, ní gur imigh an polasaí.

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10

Beir súil ar chuntair an chomhéadain a luaithe a bhíonn an ród in áit. Ciallaíonn ród atá ann agus na cuntair fós ag náid nach bhfuil aon rud á mheaitseáil isteach sa tollán, rud a dhíríonn de ghnáth ar staid atá ar iarraidh seachas ar ród atá ar iarraidh.

Cá n-imíonn an dá dhearadh ó chéile i ndáiríre

Is é an líonra a chur leis an tástáil is glaine ar an múnla a oireann duit. Cuireann dearadh ród-bhunaithe ród leis agus leathnaíonn sé an roghnóir uair amháin ar a mhéad, agus cuireann dearadh polasaí-bhunaithe eagar ar phéirí réimíre ar an dá phiara agus déanann sé idirbheartú arís. Déanann dhá fho-líonra chobhsaí an t-athrú sin fánach, agus déanann fiche tionscadal de.

Ní chuireann ceachtar múnla balla dóiteáin in ionad, agus stadann comparáidí de ghnáth roimh an bpointe seo. Socraíonn roghnóir leathan nó ród leathan cad a chriptítear, ní cad a cheadaítear.

Ní hionann iompar MTU sa chleachtas ach an oiread. Laghdaíonn eintreabhtheacht an t-ualach úsáideach, agus iompraíonn comhéadan ród-bhunaithe a MTU féin, mar sin seachnaíonn clampáil MSS ag an dá gheata an tsíomptóm poll dubh ina dtagann freagraí beaga agus ina n-imíonn cinn mhóra. Buaileann tolláin pholasaí-bhunaithe an balla céanna ón taobh eile, mar ní deir roghnóir aon rud faoi mhéid an phacáiste. Socraigh an chlampáil go toiliúil seachas an locht a chur ar an bpiara.

Imirce gan an bealach fillte a chailleadh

Taifead na péirí réimíre atá ann cheana sula n-athraíonn tú aon rud, ansin bog cosán feidhmchláir amháin agus féach air ó thús go deireadh. Ní tollán a sheolann ar aghaidh é tollán a bhunaítear, agus tagann an difríocht chun solais sa treo freagartha.

Nuair a nascann na piaraí ach nach féidir le hóstaigh LAN, scrúdaigh an ród freagartha agus an seoladh foinse a úsáidfidh an t-óstach i bhfad i gcéin. Féadfaidh óstach le dhá chomhéadan freagra a thabhairt ón gceann mícheart, agus ní dheisíonn aon athrú roghnóra é sin. Gabh trácht ag an dá cheann sula n-athraíonn tú algartaim.

ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-conns

Coinnigh cosán bainistíochta nach mbraitheann ar an tollán agus tú ag obair. Is fusa filleadh siar nuair nach mbíonn rochtain an gheata féin ag taisteal ar an nasc atá á dhífhabhtú agat.