Shigarwar VPN ta biyu ta WAN ta kasa yayin da ta farko ke aiki

Babbar hanyar tunnel tana nan, masu amfani suna ci gaba da aiki, kuma da'irar ISP ta biyu tana zaune babu aiki ko me ka canza. Ka wallafa adireshi don da'irar ajiya, ka nuna suna zuwa gareta, watakila ka ƙara shigarwar ajiya a abokin ciniki, kuma abokin ciniki ko ba ya taɓa gwada ta ko ya tabbatar da kansa sannan ya mutu. A cikin al'amuran da na bi, fasalin juyawa yawanci yana da kyau; abin da ya ɓace shine ɗaya daga cikin abubuwa biyar da ke sa shigarwa ta zama mai amfani. Suna na iya warwarewa zuwa adireshin ajiya yayin da babu abin da ke saurare a wannan ma'aunin, kuma mai saurare na iya karɓar haɗi yayin da amsar ke fita ta hanyar farko. Ka ɗauki kowane WAN a matsayin shigarwa daban da kwangilarta, kuma gazawar ba za ta ƙara kama da kuskuren abokin ciniki ba.

Kowane WAN yana bukatar kwangilar shigarsa

Yi rikodin filaye biyar ga kowane WAN: sunan jama'a da adireshin, jigilar da tashar, ma'aunin ko mahallin da ke ƙare shi, shaidar takwaransa da ya kamata ya gabatar, da inda amsar ke fita. Da'irori biyu suna nufin cikakkun saiti biyu. Idan saitin na biyu ba shi da ma'aunin ƙarewa ko hanyar dawowa, ba ka da shigarwar ajiya; kana da rikodin DNS da ke bayyana niyya.

Na'urar da sigarta ma dole ne su goyi bayan wannan tsari. Rikodin DNS ba zai iya buɗe sabis a wani ma'auni ba, kuma a yawancin dandamali ana daidaita mai saurare bisa adireshi maimakon bisa na'ura. IPsec na tushen ma'auni a ASA yana ɗaure taswirorin crypto da ƙungiyoyin tunnel zuwa ma'aunin waje, don haka hanyar hawa ta biyu tana bukatar manufa a inda waɗannan fakitin suke isowa da gaske. Tsare-tsare na tushen hanya suna yin daban: mai saurare na iya ɗaure ga kowane adireshi ko ga adireshi ɗaya mai suna, kuma wannan zaɓi ne ke yanke shawarar ko ISP B zai iya amsawa kwata-kwata.

Tabbatar cewa WAN na biyu yana amsawa da gaske

Gwada daga wajen da'irorin biyu, ba daga na'ura a bayan ƙofar ba, kuma gwada ainihin sunan da bayanin abokin ciniki ke amfani da shi. Ga mai saurare na TLS, gwajin sauri shine openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts da aka gudanar daga mai masaukin da ke wajen cibiyar sadarwarka. Kana son musafaha da ya kammala wanda sarkarsa ta dace da sunan da ke cikin bayanin, ba kawai tashar TCP da ke karɓar haɗi ba.

RFC 9525 yana bayyana abin da abokin ciniki ke dubawa: shaidar da ya yi niyyar isa gareta, idan aka kwatanta da takardar shaidar da sabis ɗin ke gabatarwa. Shigarwa ta biyu da ke mayar da takardar shaidar shigarwar farko, ko takardar shaidar da ba ta lissafa ɗaya daga cikin sunayen ba, ta kasa wannan gwajin duk da cewa tashar a buɗe take kuma wutar bango ta yarda da ita.

Samfura biyu suna bayyana yawancin gazawa a nan. Haɗin da ya rataye yawanci yana nufin babu mai saurare a wannan ma'aunin, dokar shiga da ke ba da izini ga manyan cibiyoyin sadarwa kawai, ko na'urar mai ɗaukar kaya a gaban da'irar ta biyu da ke jefar da tashar. Musafaha da ya ƙare da shaidar da ba daidai ba yawanci yana nufin wani trustpoint, mai masaukin kama-da-wane na asali, ko daidaitawa da aka kwafa daga na farko ba tare da daidaita shaidar ba.

Bi amsar, ba buƙatar kawai ba

WAN na biyu yawanci yana karyewa a hanyar dawowa. Buƙata tana isowa ta ISP B, na'urar tana amsawa, kuma amsar tana fita ta hanyar da aka saba a ISP A da adireshin tushe da abokin ciniki bai taɓa nema ba. Fassarar mai jiha tana ƙara muni: idan an gina taswirar don ma'aunin farko, fakitin da ke dawowa ya rasa fassarar ko ya ɗauki tushen da wutar bango ta abokin ciniki ke jefawa. Masu bayarwa ma suna jefar da adiresoshin tushe da ba su cikin da'irar da suka ba ka, shi ya sa wannan ya yi kama da rami baƙi mai hanya ɗaya maimakon kuskuren yarjejeniya mai tsabta.

Duba shawarar hanyar don zirga-zirgar da ta samo asali daga shigarwa ta biyu. Amsar ya kamata ta bar ma'aunin da buƙatar ta iso a kansa, ko aƙalla ta ɗauki adireshin da ɓangaren nesa ya karɓa a matsayin na wannan hanyar. A dandamali na hanyoyin tushen manufa wannan yana nufin doka da aka ɗaure da ma'aunin shigowa ko tushen da aka fassara, tare da bayanin fassara da aka ɗaure ga kowane ma'aunin waje. Ka yi rikodin a ma'aunin biyu lokaci ɗaya yayin da abokin ciniki ke haɗawa; SYN da ke isowa a ISP B tare da SYN-ACK da ke fita a ISP A suna warware tambayar a gudu ɗaya.

Ba abokin ciniki hanyar da zai san shigarwa ta biyu

Juyawa shawara ce ta ɓangaren abokin ciniki, kuma kowace iyali ta abokin ciniki tana koyon hanyoyin daban. A ASA ana isar da jerin sabar ajiya ta halayen webvpn na manufar ƙungiya, yayin da wasu abokan ciniki ke tsammanin jeri a cikin bayanin ko na biyu na hannu da mai amfani zai zaɓa. Jagorar manufar haɗi ta Cisco tana bayyana bayanan ajiya da aka daidaita a abokin ciniki da waɗanda ƙofar ke bayarwa, kuma waɗannan cikakkun bayanai na yarjejeniya bai kamata a haɗa su ga kowane abokin ciniki ko yanayin tunnel ba. Tabbatar da wace hanya ce abokin cinikin da aka tura ke aiwatarwa kafin ka gina shigarwa ta biyu a kusa da marar kyau.

Ko wace hanya ce, abokin ciniki dole ne ya iya warware madadin sunan kafin ya rasa babbar hanya. Wannan dogaro ne mutane ke mantawa da shi: idan sunan ajiya mai warwarewa ne kawai ake iya samu ta hanyar tunnel ɗin da ya gaza yanzu, ajiyar ba za ta iya farawa ba. Wallafa sunan na biyu a cikin mai warwarewa da ke amsawa a gida ko ta intanet. Yi tsammanin sabon tabbaci da sabon zaman aikace-aikace bayan ƙaura, domin juyawar abokin ciniki ba juyawa mai jiha ba ce kuma dogon zama ba ya tsira daga gareta.

Adireshi ɗaya a kan masu bayarwa biyu wani samfur ne daban

Riƙe adireshin jama'a ɗaya da ake iya samu ta da'irorin biyu aikin hanya ne, ba akwatin rajista a cikin VPN ba. Yana bukatar sararin adireshi da masu bayarwa biyu suka yarda su ɗauka, wanda aka sanar yadda cibiyoyin sadarwarsu suka karɓa, kuma abin da multihoming tare da sarari mai zaman kansa daga mai bayarwa da BGP ke bayarwa ke nan. Sanya adireshin ISP A a ma'aunin ISP B ba ya kai can; fakitin yana isowa cibiyar sadarwar da ba ta taɓa sanar da prefix ɗin ba kuma an jefar da shi a sama.

Ba ka bukatar kome daga cikin waɗannan don wallafa shigarwa biyu. Idan abokin ciniki zai iya riƙe sunaye biyu kuma ya kasa tsakanin su, shigarwa biyu masu zaman kansu sun isa, kuma kana guje wa lambar AS, yarjejeniyar peering da prefix da dole a karɓa a ko'ina. Yi la'akari da zaɓin adireshi mai ɗauka kawai lokacin da kake bukatar wurin shiga ɗaya mai tsayawa wanda ba za a iya sake daidaita abokan ciniki don maye gurbinsa ba, ko lokacin da juyawa na tushen DNS tare da jinkirin TTL ya yi jinkiri sosai ga katsewar da kake tsara don fuskantar.

Abin da za a duba na gaba

Yi aiki daga shigarwar da ta gaza zuwa waje a cikin wannan tsari: shin adireshin na biyu yana amsawa daga waje, shin yana gabatar da shaidar da abokin ciniki ke tsammani, shin amsar tana fita ta hanyar da buƙatar ta iso, kuma shin abokin ciniki zai iya koyon sunan kafin ya buƙace shi. Inda amsar ita ce a'a, gyara wannan layin kuma sake gwadawa da bayanin da aka tura ba da mai masaukin gwaji ba, domin musafaha dakin gwaji tana tabbatar da ƙasa da cikakkiyar haɗin abokin ciniki na gaske.

Riƙe ɗan taƙaitaccen rikodi ga kowane WAN tare da adireshi, tashar, ma'aunin ƙarewa, sunan takardar shaidar, hanyar dawowa da dokar fassara, kuma sake duba shi duk lokacin da da'ira, na'urar NAT ko sigar abokin ciniki ta canza. Hanyoyin ajiya marasa aiki suna ruɓewa a shiru: babu abin da ke faɗakarwa game da shigarwar da babu wanda ke amfani da ita har zuwa ranar da kowa ya dogara da ita.