Cé a fhreagraíonn i ndáiríre ar sheoladh tiomnaithe an VPN?

Ní héisteoir é seoladh a fhanann gan úsáid i leithdháileadh na heagraíochta, agus ní chruthaíonn a chur le balla dóiteáin ceann ar bith. Caithfidh rud éigin IKE a chríochnú ar an seoladh sin, agus tá an mheicníocht éagsúil ag brath ar cé acu atá an seoladh ag an airseal nó ag gléas suas an tsreafa a aistríonn é. Is é cosán an phaicéid a dhealaíonn an dá chás, agus socraíonn sé cén ghné den ardán a theastaíonn uait sula n-osclaíonn aon duine iarratas athraithe. Déan múnla den chosán ar dtús, ansin roghnaigh.

An cosán paicéid taobh thiar den seoladh

Seolann piara IKE chuig an seoladh a tugadh dó, ar UDP 500 nó ar UDP 4500 nuair a bhíonn trasnú NAT i gceist. Cibé gléas a choinníonn an seoladh sin ar an gcosán, faigheann sé an datagram go háitiúil agus freagraíonn sé, nó seolann sé ar aghaidh é go háit éigin eile. Sin an dá fhéidearthacht amháin, agus leanann gach rud eile san alt seo ó cé acu atá fíor.

Ciallaíonn fáil go háitiúil go bhfuil soicéad ar an ngléas sin, ceangailte leis an seoladh sin. Ciallaíonn seoladh ar aghaidh go ndéantar an datagram a athscríobh agus a sheoladh ar aghaidh chuig críochphointe eile, a bhfuil an soicéad aige ansin. Ní insíonn riail balla dóiteáin a cheadaíonn UDP 500 aon rud duit faoi cé acu den dá rud atá ag tarlú.

Scríobh an taifead sula dtéann tú i dteagmháil le haon rud: an seoladh a ndéanann piaraí teagmháil leis, conas a sheachadann an líonra suas é, an chomhéadan áitiúil nó an críochphointe loighciúil a fhaigheann é, agus an próiseas a fhreagraíonn IKE. Ceithre líne, agus is féidir gach ceann a sheiceáil. Nuair a bhíonn ceann acu anaithnid, is é an t-anaithnid sin an obair dearaidh seachas sonra feidhmithe le réiteach níos déanaí. Is é a líonadh tar éis an t-iarratas athraithe a cheadú an bealach a gcuirtear riail aistriúcháin leis an ngléas mícheart.

Múnla A: tá an seoladh ag an airseal

Sa chéad mhúnla coinníonn an t-airseal an seoladh féin, bíodh sé ina sheoladh tánaisteach ar chomhéadan atá ann cheana, ina sheoladh ar chomhéadan tiomnaithe, nó ina loopback a thacaíonn an t-ardán leis mar chríochphointe tolláin. Trí ghné éagsúla iad le trí chosán chumraíochta éagsúla, agus b'fhéidir nach dtacaíonn ardán a thacaíonn le ceann amháin leis na cinn eile.

Deimhnigh go dtacaíonn an t-ardán agus an leagan go beacht leis an socrú sin sula ndéanann tú dearadh timpeall air. Ní féidir bloc ródaithe, seoladh breise ar chomhéadan agus críochphointe loopback a mhalartú, agus ní gheallann doiciméadú leagain amháin go n-iompraíonn an chéad cheann eile mar an gcéanna.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Is é an soicéad éisteachta an chruthúnas. Mura bhfuil aon rud ceangailte leis an seoladh, ní hé an t-airseal an críochneoir is cuma cad a deir an tábla ródaithe, agus taispeánfaidh gabháil paicéad na datagram ag teacht gan aon rud á bhfreagairt.

Ná cuir dara comhéadan i bhfo-líonra atá ann cheana in áit éigin eile sa topology agus ná glac leis go réiteoidh an t-ardán é. Cruthaíonn fo-líonraí comhéadain fhorluiteacha roghnú foinse débhríoch agus, ar a lán ardán, diúltú cumraíochta ar fad.

Múnla B: aistríonn gléas suas é

Sa dara múnla coinníonn balla dóiteáin suas an seoladh tiomnaithe agus seolann sé an trácht ar aghaidh chuig airseal VPN eile. Aistriú cinn scríbe le cosán fillte is ea é, agus is dearadh bailí go hiomlán é fad a dhoiciméadaítear mar sin é.

Rud nach ea, is cruthúnas é go bhfuair an gléas suas soicéad VPN áitiúil. Seolann an t-aistriúchán paicéid ar aghaidh; ní dhéanann sé freagróir IKE den bhosca uachtarach. Má bhaintear an riail suas nó má bhriseann a cosán fillte, stopann an VPN cé go bhfuil an t-airseal sláintiúil agus a éisteoirí féin slán.

Taifead an dá sheoladh: an ceann a ndéanann piaraí teagmháil leis agus an ceann a fheiceann an t-airseal i ndáiríre. Ansin taifead an t-iompar agus an cosán fillte, mar déanfaidh aistriúchán a oibríonn le UDP 500 ach nach n-oibríonn le ESP ionchochlaithe nascadh agus ansin teip ar thrácht a iompar, rud is teip mhearbhallach le dífhabhtú níos déanaí.

Ní hé an fhéiniúlacht an seoladh amuigh

Dealaíonn IPsec críochphointe an tolláin ón trácht a chosnaíonn sé, agus coinníonn an ailtireacht na cinntí sin in áiteanna éagsúla. Ní athraíonn athrú an tseolta a ndéanann piaraí teagmháil leis go huathoibríoch cé na réimíreanna istigh a cheadaítear, cé na róid a shuiteáiltear nó cé na hacmhainní a bhfuil an seisiún ábalta ar a rochtain.

Tá an fhéiniúlacht fhíordheimhnithe scartha arís. Iompraíonn IKEv2 ualach féiniúlachta agus malartú fíordheimhnithe nach gá a bheith ag teacht le seoladh paicéid amuigh, agus is ar an gcúis sin go beacht gur féidir le dearadh aistrithe fós fíordheimhniú i gceart.

Tá an neamhspleáchas sin úsáideach agus ina gháiste freisin. Ní roghnaíonn dhá ainm DNS a réitíonn chuig aon éisteoir amháin cúlcinní VPN éagsúla, agus ní shásóidh teastas a ainmníonn féiniúlacht amháin piara a bhfuil ceann eile ag súil leis. Deimhnigh cad a dhearbhaíonn an piara sula nglaic tú gurb é an seoladh amháin a shocraíonn é.

Glac leis an dearadh trí fhéachaint ar aon nasc amháin

Scrúdaigh cá seachadtar nasc nua údaraithe i ndáiríre, cén fhéiniúlacht a fhreagraíonn agus cén sreabhadh príobháideach a cheadaítear ansin. Trí bhreathnóireacht, trí shraith éagsúla, agus ní thástálann cuardach poiblí rathúil ar an seoladh aon cheann acu.

Coinnigh an cás diúltach freisin: piara nár cheart a ghlacadh, nó réimír istigh nár cheart a bheith inrochtana, fíoraithe tar éis an athraithe. Is é an taifead a scríobh tú ag an tús a dhéanann an tástáil sin indéanta gan an dearadh a atógáil ón gcuimhne.

Is é pointe an méid seo go léir ligean d'úinéir an líonra modh leithdháilte tacaíochta a roghnú seachas brath ar éileamh ginearálta faoin méid is féidir le gach balla dóiteáin a dhéanamh le seoladh breise. Is é an t-éileamh sin go beacht an áit a dtéann na dearaí seo amú, mar bíonn sé inchreidte ar gach ardán agus go ginearálta níl sé fíor ar aon cheann acu. Socraíonn an taifead ceithre líne é do d'ardán i ndeich nóiméad.