Cén paicéad ar cheart do pholasaí VPN le dhá WAN teacht air?

Déanann iarratais chun an VPN a ródú thar an dara nasc suas cur síos ar dhá thasc éagsúla ar a laghad, agus ní bhaineann an polasaí a réitíonn ceann amháin leis an gceann eile. Sa chéad tasc, aistrítear an t-iompar criptithe idir dhá chríochphointe go seoladh WAN eile. Sa dara ceann, tagann sruth feidhmchláir díchriptithe úsáideora nasctha amach i dtreo chéim eile éagsúil. Tá an dá rud dlisteanach, úsáideann an dá rud ródú, agus teastaíonn comhoiriúnú ar phaicéad atá ann ag an bpointe ina ndéantar an cinneadh ó gach ceann acu. Téigh trí na seiceálacha thíos in ord, mar is é an chéad cheann a chinneann cén paicéad a chaithfidh rialacha níos déanaí a ainmniú.

Ainmnigh an dá chomhrá

Samhlaigh oibrí cianda atá ceangailte le geata oifige, ag oscailt HTTPS chuig freastalaí feidhmchláir inmheánach. Tá dhá chomhrá neamhspleách ar an sreang, agus tá seoltaí éagsúla acu ag gach ceann. Ritheann an comhrá seachtrach idir dhá chríochphointe an VPN: ó sheoladh an gheata go seoladh an phiara, sa phrótacal agus sa phort a d’aontaigh an t-imscaradh. Ritheann an comhrá inmheánach ón seoladh a sannadh don chliant go seoladh fhreastalaí an fheidhmchláir ar phort 443.

Ní hé port cinn scríbe an fheidhmchláir port iompair an VPN, agus ní bhogfaidh aon mhéid polasaí ar TCP 443 an tollán. Ar an gcuma chéanna, ní deir riail a atreoraíonn seoladh iompair an phiara aon rud faoi cá dtéann iarraidh HTTP an úsáideora sin tar éis díchriptithe. Scríobh an dá chomhrá síos lena seoltaí fíora sula gcuireann tú lámh le riail, mar is ón rud amháin a ainmniú agus an ceann eile a chumrú a thagann an chuid is mó den mhearbhall sa réimse seo.

Aimsigh cá féidir le do pholasaí an paicéad a fheiceáil i ndáiríre

Caithfear an comhoiriúnú a mheas sa slabhra agus sa spás ainmneacha ina bhfuil an paicéad fós san fhoirm a thuairiscigh tú. Feiceann riail atá ceangailte le hinlíonadh LAN an paicéad inmheánach, gan chriptiú, sula ródtar é i dtreo an tolláin. Feiceann riail a chuirtear i bhfeidhm ar thrácht a thagann chun cinn go háitiúil paicéid a ghineann an geata féin, agus ní chumhdaíonn sé go huathoibríoch trácht nach ndéanann an geata ach a sheoladh ar aghaidh. Is tríú cás fós é aschur imchlúdaithe, a láimhseáiltear de ghnáth ar an gcomhéadan a iompraíonn an tollán seachas ar thaobh an LAN.

Sin an fáth a n-iompraíonn an mhír chumraíochta chéanna í féin go difriúil ar dhá ardán: tá na pointí ceangail éagsúil, agus féadfaidh crúca polasaí déantóra suí roimh nó tar éis an chéim chriptithe. Léigh cosán an phaicéid don táirge áirithe in ionad an t-ord a ghlacadh ó léaráid déantóra eile.

Deimhnigh an t-iompar a d’aontaigh tú

I gcás IPsec imchlúdaithe in UDP, cuireann RFC 3948 ESP taobh istigh de UDP agus úsáideann sé marcóir nach ESP é chun IKE a choinneáil ina idirdhealú ar an bport roinnte. Is prótacal IP é ESP lom, ní port TCP ná UDP, mar sin ní chomhoiriúnóidh riail bhalla dóiteáin a scríobhtar in aghaidh uimhir phoirt leis ar chor ar bith. Cinneann an t-idirdhealú seo an dteastaíonn riail UDP, riail phrótacail nó an dá rud ó do pholasaí WAN.

Buaann luachanna aontaíthe ar luachanna cuimhnithe. Léigh pointí agus seoltaí reatha an chomhlachais ón ngléas in ionad TCP 4500 nó seanphort déantóra a chur leis ar eagla na heagla, rud a ghabhann trácht neamhghaolmhar agus a cheiltíonn an fíorphroblem aicmithe.

Seiceáil an cosán fillte sula ngeallann tú

Cruthaíonn rath amach leath de dhearadh. Ní fheictear paicéad a fhilleann i dtreo linn na gcliant cianda faoi sheoladh an chliaint a thuilleadh a luaithe a thagann an imchlúdú ina ionad: is é an ceann scríbe seachtrach seoladh iompair an phiara. Má shroicheann an dara nasc suas an piara sin trí iompróir eile, féadfaidh a aistriúchán agus a scagadh easaontú leis an gcéad cheann, agus b’fhéidir go mbeidh ar an gcomhlachas a atógáil seachas a imirce.

Is é staid aistriúcháin seoltaí líonra an t-íospartach is gnáthaí de bharr aistriú WAN. Taifead an nasc suas a roghnaíodh, an seoladh foinse seachtrach a bhfuiltear ag súil leis, an t-aistriúchán atá in úsáid agus inrochtaineacht an phiara ar ais chuige, ansin coinnigh an t-iompar inrochtana gan é a sheoladh isteach sa tollán a iompraíonn sé.

Fíoraigh an dá shraith le dhá ghabháil

Réitíonn gabháil amháin ar an gcomhéadan WAN agus ceann amháin laistigh den tollán an cheist níos tapúla ná aon chomparáid chumraíochta. Rith iad ón ngeata agus cliant ceadaithe ag déanamh aon iarraidh amháin, agus coinnigh an dá chomhad.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Ba cheart don chéad ghabháil an comhrá seachtrach a thaispeáint ag fágáil an chomhéadain a bhí beartaithe agat, leis an seoladh foinse a bhfuiltear ag súil leis. Ba cheart don dara ceann an comhrá inmheánach a thaispeáint uair amháin, gan dúbláil, le seoladh an chliaint mar fhoinse agus freastalaí an fheidhmchláir mar cheann scríbe. Deimhníonn an chuardach róid cén tábla a d’úsáidfeadh an ródaire don phéire foinse is ceann scríbe sin, agus is ann is gnách le hearráid pholasaí teacht chun solais. Mura bhfeictear ceachtar den dá ghabháil, tá an pointe cinnteoireachta áit éigin eile seachas an áit ar ceanglaíodh an riail, agus baineann an ceartú leis an áit sin seachas le comhoiriúnú níos leithne.