Cinneann an áit a gcríochnaíonn VPN do shuímh cad a ndéantar iniúchadh air

Folaíonn tollán idir suíomhanna sonra amháin a chinneann an dearadh iniúchta ar fad: an gléas cruinn ina bhfeictear an paicéad istigh mar ghlan-théacs. Feiceann gach rud roimh an bpointe sin ESP, agus feiceann gach rud ina dhiaidh sin IP gnáthach ar féidir le riail é a ghabháil. Cuir an teorainn san áit mhícheart agus éiríonn an balla dóiteáin ar íoc tú as ina ródaire le ceadúnas. Tarraingíonn an treoir thíos an líne ar dtús agus ní iarrann sí ach ansin cén gléas ba cheart a bheith ina úinéir uirthi.

Tarraing an líne san áit a stopann an paicéad de bheith criptithe

I mód tolláin, criptítear an paicéad bunaidh agus filltear i gceanntásc IP seachtrach nua atá dírithe ar gheata an chomhpháirtí. Iompraíonn an paicéad seachtrach sin prótacal 50 le haghaidh ESP, mar sin is féidir le haon ghléas idir an dá gheata é a ródú gan na seoltaí istigh a léamh. Is é an chéad ghléas a dhí-chriptíonn an teorainn slándála, agus is é freisin an chéad ghléas ar féidir leis polasaí a chur i bhfeidhm ar an sruth istigh. Tá gach rud faoi bhun an phointe sin ina ródú gnáthach.

Marcáil trí rud ar an léaráid: an pointe deiridh seachtrach a ghlacann ESP, na líonraí cosanta a luaitear sa pholasaí, agus an chéad léim eile a thógann an paicéad dí-chriptithe. Mura bhfuil an triúr sin ar an ngléas céanna, tá aistriú agat le dearadh, ní pointe rialaithe amháin.

Tugann RFC 4301 geata slándála ar an ngléas a dhí-chriptíonn agus féachtar ar a pholasaí mar chuid den teorainn. Is creat níos úsáidí é seo ná an chatagóir táirge, mar is teorainn gléas nuair a choinníonn sé an polasaí, ní nuair a deir a bhileog sonraí balla dóiteáin.

Balla dóiteáin mar chríoch: gléas amháin, pointe polasaí amháin

Nuair a chríochnaíonn an balla dóiteáin an tollán, ní gá don ródaire os a chionn ach ESP a sheachadadh chuige. Fíoraíonn an balla dóiteáin an comhpháirtí, dí-chriptíonn sé, agus ansin cuireann sé a ghnáthrialacha i bhfeidhm ar an paicéad istigh ar an mbealach chuig VLAN na bhfreastalaí. Tugann sé sin áit amháin chun polasaí a léamh agus áit amháin chun logaí a léamh, rud a iarrann iniúchadh de ghnáth.

Seiceáil an dá chead ar leithligh. Ní hé ceadmhach IKE agus ESP chuig an ngléas an riail chéanna le cead a thabhairt do shuíomh i bhfad i gcéin freastalaí a bhaint amach, agus breathnaíonn balla dóiteáin a ghlacann an tollán agus a chuireann bac ar an sruth istigh go díreach cosúil le tollán briste ón taobh thall.

Is é an costas go bhfuil an balla dóiteáin ar chonair uile thrácht an tsuímh anois, mar sin tagann a thrídhucht, a theorainneacha seisiúin agus a iompar nuair a mhainneann sé chun bheith ina iompar ag an tollán féin. Méadaigh é do shreafaí comhcheangailte an tsuímh, ní don phróifíl rochtana i bhfad i gcéin ar b'fhéidir a ceannaíodh é dá son.

Ródaire mar chríoch: éiríonn an léim iniúchta roghnach

Nuair a dhí-chriptíonn an ródaire, bíonn an paicéad glan cheana nuair a shroicheann sé an tábla ródaithe. Má tá balla dóiteáin ar leith le trácht sin a iniúchadh, caithfidh an ródaire é a sheoladh tríd an mballa dóiteáin agus caithfidh an bealach fillte teacht ar ais ar an mbealach céanna. Baineann bealach díreach ón ródaire go VLAN na bhfreastalaí an balla dóiteáin den chonair go ciúin agus fágann sé ar an léaráid é.

Seo an teip ar chóir a lorg i líonra atá ann cheana: dhá bhealach chuig an réimír chéanna, ceann tríd an mballa dóiteáin agus ceann díreach, agus an ceann díreach ag buachan ar fhad an réimír nó ar mhéadrach. Téann an tollán trí thrácht fós agus ní tharlaíonn an t-iniúchadh a chreideann tú ann.

Déanann tolláin atá bunaithe ar bhealaí é seo sofheicthe, mar is comhéadan é an tollán ar féidir leat ródú tríd trí ghléas eile. Roghnaíonn tolláin atá bunaithe ar pholasaí trácht le roghnóir, rud a fhágann an paicéad dí-chriptithe ar an ródaire gan aon áit eile le dul.

Cuir na cúig cheist chéanna ar an dá iarrthóir

Buaileann bileog oibre ghearr matrics gnéithe, mar freagraíonn gach ceist do líne amháin ar an léaráid. Cuir ceist ar gach iarrthóir:

• Cé na leaganacha IKE, cé na modhanna fíordheimhnithe comhpháirtí agus cé na samhlacha ródaithe a thacaíonn an eisiúint seo leo i ndáiríre?
• Cá nglactar le ESP, agus cá gceadaítear nó cá ndiúltaítear don sruth dí-chriptithe?
• Conas a fhoghlaimíonn óstach áitiúil na réimírí i bhfad i gcéin, agus conas a fhoghlaimíonn an taobh thall do chuidse?
• Cén trídhucht, cén líon seisiún agus cén t-iompar nuair a mhainneann sé a chaithfidh an pointe deiridh a sheasamh don fhíor-ualach?
• Cé a shealbhaíonn dintiúirí an chomhpháirtí, an polasaí agus an bealach aisghabhála nuair is é an tollán an rud briste?

Déanann pfSense IPsec atá bunaithe ar pholasaí agus ar bhealaí a dhoiciméadú mar mhúnlaí ar leith le srianta ar leith, agus is mó a chomhairtear an difríocht sin ná an lipéad ar an mbosca. Seiceáil an mód cruinn agus an scagadh a thacaítear leis ar thrácht dí-chriptithe san eisiúint a d'fhoilseofá i ndáiríre.

Mura féidir le hiarrthóir an dara ceist a fhreagairt le riail is féidir leat a léamh, ní hé an teorainn atá uait í, is cuma cé chomh maith is a dhéanann sé gach rud eile. Iarr téacs na rialach in ionad tá, agus caith le freagra doiléir mar ní hea.

Fíoraigh an bealach le gabháil, ní leis an léaráid

Déanann léaráid cur síos ar rún agus déanann gabháil cur síos ar iompar, mar sin deimhnigh cé acu comhéadan a iompraíonn ESP agus cé acu a iompraíonn an sruth istigh sula gcuirfidh tú muinín in aon cheann acu.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Má thaispeánann an chéad ghabháil ESP ag teacht agus má thaispeánann an dara ceann an paicéad istigh ar thaobh LAN, tá an pointe dí-chriptithe san áit a cheapann tú. Má fheictear an paicéad istigh ar dheighilt a sheachnaíonn an balla dóiteáin, tá an ródú mícheart, is cuma cad a deir téacs an pholasaí. Taispeánann liosta xfrm ansin cé na roghnóirí atá suiteáilte agus cén treo.

Déan an ghabháil arís ar an mbealach fillte, mar is coitianta ródú neamhshiméadrach nuair a bhíonn dhá eisiúint fhéideartha ag suíomh. Is é an tollán a oibríonn i dtreo amháin agus a théann thar am sa treo eile an cás seo beagnach i gcónaí, agus ní cheartaíonn aon eagarthóireacht polasaí ar an taobh thall é.