Dhá léim VPN as a chéile: cé a fheiceann do thrácht i ndáiríre?
Dí-chriptíonn agus ath-chriptíonn na léimeanna sraitheacha ag an gcéad gheata; ní bhaineann na léimeanna neadaithe ach an tsraith sheachtrach. Siúil an dá dhearadh agus féach cé acu oibreoir a léann cad.
Ainmníonn gach próifíl cliaint freastalaí amháin, mar sin ó shuíochán an úsáideora tá tollán amháin agus áit amháin ina gcríochnaíonn an chosaint. Is cinneadh dearaidh é an rud a tharlaíonn tar éis an chéad gheata sin nach bhfeiceann an cliant riamh, agus iompraíonn an dá dhearadh choitianta iad féin go han-difriúil faoi iniúchadh. I slabhra sraitheach dí-chriptíonn an chéad gheata agus ath-chriptíonn sé. I slabhra neadaithe baineann sé sraith sheachtrach agus seolann sé tollán inmheánach nach féidir leis a oscailt. Tá líon na léimeanna mar an gcéanna sa dá cheann, agus mar sin caithfear an difríocht a tharraingt seachas a chomhaireamh.
Tosaigh ag an gcliant agus ainmnigh an dá fhoirceann
Tosaigh san áit a dtosaíonn an t-úsáideoir, sa phróifíl nasctha. Coinníonn sé seoladh cianda amháin, modh fíordheimhnithe amháin agus, nuair a thacaíonn an dearadh leis, liosta bealaí. Lipéadaigh an tollán seachtrach sin ón gcliant go geata A agus tabhair seoltaí samplacha dó: seoladh tolláin an chliaint 10.77.0.2, seoladh A 10.77.0.1 agus foirceann poiblí A 198.51.100.10, tógtha ó raon doiciméadúcháin TEST-NET-2 ionas nach féidir le haon rud sa sampla teacht salach ar óstach fíor.
Ní luann aon rud sa phróifíl sin geata B, agus ní locht é sin. Baineann an dara léim le A, agus is é an t-aon dualgas atá ar an gcliant trácht a sheachadadh chuig A agus glacadh leis an méid a thagann ar ais. Cibé an gcríochnaíonn A an tollán, an seolann sé ar aghaidh é nó an n-osclaíonn sé ceann nua, is í sin an cheist a fhreagraíonn an chuid eile den siúlóid seo, agus socraíonn sí cad is féidir le A a léamh.
Sraitheach: dí-chriptíonn A, ansin ath-chriptíonn
Sa dearadh sraitheach críochnaíonn A an trácht faoi dhó. Baineann sé an chosaint den chliant, faigheann sé paicéad IP an fheidhmchláir, agus ansin seolann sé an paicéad sin trí dhara tollán a chruthaíonn A i dtreo B. Idir an dá oibríocht sin suíonn an paicéad i gcosán seolta A mar ghnáthphaicéad IP dírithe ar cheann scríbe príobháideach.
Tá dhá iarmhairt ag baint leis sin ar fiú iad a rá go díreach. Is féidir le A beartas a chur i bhfeidhm ar an bpaicéad inmheánach, i bhfoirm bealaí, rialacha scagtha agus logála foinse agus cinn scríbe, agus caithfidh A dhá shraith dintiúirí a choinneáil: ceann mar fhreastalaí don chliant agus ceann mar chliant de B. Tá cosaint ann gach nóiméad, ach athraíonn an rud atá á chosaint a chéannacht ag A.
Ní leanann sé as sin go léann A téacs soiléir an fheidhmchláir. Nuair a ritheann an cliant agus an tseirbhís TLS agus a fhíoraíonn siad teastais a chéile, feiceann A sruth taifead TLS seach iarratas inléite. Chun a dheimhniú cá gcríochnaíonn an chosaint sin caithfear féachaint ar shlabhra teastas na seirbhíse, ní ar léaráid an tolláin.
Neadaithe: ní bhaineann A ach an tsraith sheachtrach
Sa dearadh neadaithe tógann an cliant tollán inmheánach go B ar dtús agus ansin iompraíonn sé an tollán sin taobh istigh den cheann seachtrach go A. Baineann A an ceannteideal seachtrach, aimsíonn sé tollán inmheánach agus seolann sé ar aghaidh é gan a eochracha a choinneáil, mar sin críochnaíonn an chosaint inmheánach ag B fós.
Ansin iompraíonn nasc suas an chliaint dhá shraith, agus iompraíonn an cosán idir A agus B ceann amháin. Feiceann A seolta seachtracha an tolláin inmheánaigh, rud is leor chun a fhios a bheith agat go bhfuil trácht ann agus go garbh cá bhfuil sé ag dul, agus nach leor chun an t-ualach a léamh. Sin an difríocht iomlán ón gcás sraitheach, agus ní thaispeánann aon chomhaireamh léimeanna é. Is é an rud is féidir le A a dhéanamh fós ná diúltú an rud nach féidir leis a léamh a sheoladh ar aghaidh, agus bíonn sé sin ar fáil i gcónaí d'oibreoir an gheata sin.
Íocann an neadú as an airí sin. Cuireann gach sraith forchostas ceannteidil leis, mar sin éiríonn pleanáil MTU agus MSS éigeantach seachas slachtmhar, agus is féidir le cosán a oibríonn le sraith amháin paicéid mhóra a ligean ar lár go ciúin le dhá cheann. Teastaíonn a iompar athnasctha agus coinnithe beo féin ó gach sraith freisin, agus breathnaíonn teip i sraith amháin mar chliseadh páirteach tríd an gceann eile.
Tarraing na breathnóirí, ní hamháin na tolláin
Is iad na tolláin an chuid éasca den léaráid. Is iad na breathnóirí ábhar an dearaidh, mar sin scríobh ró amháin in aghaidh an dearcaidh agus líon isteach cad is féidir le gach ceann a léamh i ndáiríre.
| Vantage point | Serial chain | Nested chain |
|---|---|---|
| Client's access network | Outer tunnel only | Outer tunnel only |
| Operator of A | Inner IP packet between A and B | Outer addresses of the inner tunnel, not its payload |
| Path between A and B | Second tunnel | Second tunnel |
| Operator of B | Inner packet re-originated by A | Payload after the inner layer is removed |
| Service edge | Traffic from the exit address | Traffic from the exit address |
Meascann dhá ró go síoraí: oibreoir A agus soláthraí thollán an chliaint. Féadfaidh siad a bheith ina n-aonán amháin, agus ní dhéanann ainmneacha geata ar leith neamhspleách iad. Teastaíonn rialtán riaracháin ar leith, dintiúir ar leith agus logáil ar leith ó úinéireacht neamhspleách.
Maireann meiteashonraí an dá dhearadh. Fanann amú, méideanna paicéad agus líon na nasc inbhraite ag gach léim, mar sin ardaíonn dhá léim costas an chomhghaolaithe seachas an comhartha a bhaint. Ba cheart dearadh a gheallann dofheictheacht a sheiceáil i gcoinne an liosta sin sula mbraitheann aon duine air.
Siúil na cosáin teipe sula roghnaíonn tú
Bris rudaí d'aon ghnó ón gcliant, san ord a dtiocfadh úsáideoir orthu. Tosaigh leis an gcomhéadan agus a MTU, mar teipeann an neadú ar mhéid paicéid i bhfad sula dteipeann sé ar fhíordheimhniú.
ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1Ansin deimhnigh foircinn na cosanta seachas iad a ghlacadh mar rud cinnte. Iarr ar an tseirbhís a teastas ón taobh istigh de cibé tollán atá suas, agus cuir an slabhra a fheiceann an cliant i gcomparáid leis an slabhra a chuireann an tseirbhís i láthair i ndáiríre. Athraíonn geata a athshíníonn nó a thapálann an teastas sin, agus éiríonn an t-iniúchadh infheicthe in aon ordú amháin.
openssl s_client -connect intranet.example.com:443 -brief < /dev/nullCríochnaigh leis an maitrís athnasctha: titeann tollán an chliaint, titeann tollán B, athraíonn an cosán idir A agus B. Tabhair faoi deara cad a thagann ar ais agus cad nach dtagann, agus an dtiteann nasc inmheánach riamh chuig bealach lasmuigh dá iompróir beartaithe. Taifead na seoltaí a d'úsáid gach tástáil, mar freagraíonn a athrá ar líonra rochtana eile ceist eile. Déan an tástáil MTU a athrá freisin tar éis gach athnasctha, mar is féidir le cosán athraithe an méid inúsáidte a ísliú gan líne chumraíochta amháin a bhogadh.
Roghnaigh sraitheach nuair a chaithfidh A beartas a chur i bhfeidhm ar an bpaicéad inmheánach, nó nuair nach féidir leis an gcliant dhá thollán cruachta a rith. Roghnaigh neadú nuair a chaithfidh an t-ualach inmheánach fanacht doléite ag A. Scríobh an rogha síos lena breathnóirí agus lena huimhreacha MTU, agus ní bheidh ar an gcéad duine eile an pictiúr iomlán a tharraingt arís chun ceist amháin a fhreagairt.