מי באמת עונה בכתובת הייעודית של ה-VPN?

כתובת שמונחת ללא שימוש בהקצאה של הארגון אינה מאזינה, והוספתה לחומת אש אינה יוצרת אחת. משהו חייב לסיים IKE בכתובת הזו, והמנגנון שונה לפי האם השער מחזיק בכתובת או שמכשיר במעלה הזרם מתרגם אותה. נתיב החבילה הוא מה שמבדיל בין השניים, והוא קובע איזו תכונת פלטפורמה דרושה לכם לפני שמישהו פותח בקשת שינוי. מדלו את הנתיב תחילה, ואז בחרו.

נתיב החבילה מאחורי הכתובת

עמית שולח IKE לכתובת שקיבל, ב-UDP 500 או ב-UDP 4500 כאשר מעבר NAT עומד על הפרק. כל מכשיר שמחזיק בכתובת הזו בנתיב או מקבל את הדאטגרם באופן מקומי ועונה לו, או מעביר אותו למקום אחר. אלו הן שתי האפשרויות היחידות, וכל השאר במאמר הזה נובע מכך איזו מהן נכונה.

קבלה מקומית משמעה שקיים סוקט במכשיר הזה, הקשור לכתובת הזו. העברה משמעה שהדאטגרם נכתב מחדש ונשלח הלאה לנקודת קצה אחרת, שאז מחזיקה בסוקט. כלל חומת אש שמתיר UDP 500 אינו אומר לכם דבר על איזו מהשתיים מתרחשת.

כתבו את הרשומה לפני שאתם נוגעים במשהו: הכתובת שאיתה העמיתים יוצרים קשר, כיצד רשת המעלה מספקת אותה, הממשק המקומי או נקודת הקצה הלוגית שמקבלת אותה, והתהליך שעונה ל-IKE. ארבע שורות, וכל אחת ניתנת לבדיקה. כאשר אחת מהן אינה ידועה, אותה אי-ידיעה היא עבודת התכנון ולא פרט יישום שיוכרע מאוחר יותר. מילויין לאחר אישור בקשת השינוי הוא הדרך שבה כלל תרגום מתווסף למכשיר הלא נכון.

מודל A: השער מחזיק בכתובת

במודל הראשון השער עצמו מחזיק בכתובת, בין ככתובת משנית בממשק קיים, בין ככתובת בממשק ייעודי, ובין כ-loopback שהפלטפורמה תומכת בו כנקודת קצה של מנהרה. אלו שלוש תכונות שונות עם שלושה נתיבי תצורה שונים, ופלטפורמה שתומכת באחת עשויה שלא לתמוך באחרות.

אשרו שהפלטפורמה והגרסה תומכות בדיוק בסידור הזה לפני שאתם מתכננים סביבו. בלוק מנותב, כתובת נוספת בממשק ונקודת קצה loopback אינם ניתנים להחלפה, ותיעוד של גרסה אחת אינו מבטיח שהבאה תתנהג באותו אופן.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

הסוקט שמאזין הוא ההוכחה. אם שום דבר אינו קשור לכתובת, השער אינו המסיים ללא קשר למה שטבלת הניתוב אומרת, ולכידת חבילות תראה שהדאטגרמים מגיעים בלי שדבר עונה להם.

אל תמקמו ממשק שני בתת-רשת שכבר קיימת במקום אחר בטופולוגיה ואל תניחו שהפלטפורמה תסדר זאת. תת-רשתות ממשק חופפות יוצרות בחירת מקור דו-משמעית, ובפלטפורמות רבות סירוב מוחלט להגדרה.

מודל B: מכשיר במעלה הזרם מתרגם אותה

במודל השני חומת אש במעלה הזרם מחזיקה בכתובת הייעודית ומעבירה את התעבורה לשער VPN אחר. זו תרגום יעד עם נתיב חזרה, וזהו עיצוב תקף לחלוטין כל עוד הוא מתועד ככזה.

מה שהוא אינו, הוא הוכחה שהמכשיר במעלה הזרם רכש סוקט VPN מקומי. התרגום מעביר חבילות; הוא אינו הופך את הקופסה העליונה למשיב IKE. אם הכלל במעלה הזרם מוסר או שנתיב החזרה שלו נשבר, ה-VPN נעצר למרות שהשער בריא והמאזינים שלו עצמם שלמים.

תעדו את שתי הכתובות: זו שאיתה העמיתים יוצרים קשר וזו שהשער באמת רואה. אחר כך תעדו את התעבורה ואת נתיב החזרה, כי תרגום שעובד עבור UDP 500 אך לא עבור ESP עטוף יתחבר ואז ייכשל בנשיאת תעבורה, וזו תקלה מבלבלת לניפוי באגים מאוחר יותר.

הזהות אינה הכתובת החיצונית

IPsec מפריד בין נקודת הקצה של המנהרה לבין התעבורה שהיא מגנה עליה, וכן הארכיטקטורה משאיר את ההחלטות הללו במקומות שונים. שינוי הכתובת שאיתה העמיתים יוצרים קשר אינו משנה אוטומטית אילו קידומות פנימיות מותרות, אילו נתיבים מותקנים או לאילו משאבים הסשן יכול להגיע.

הזהות המאומתת נפרדת שוב. IKEv2 נושא מטען זהות וחילופי אימות שאינם חייבים להתאים לכתובת החבילה החיצונית, וזו בדיוק הסיבה שעיצוב מתורגם עדיין יכול להזדהות כראוי.

העצמאות הזו שימושית וגם מלכודת. שני שמות DNS שנפתרים למאזין רגיל אחד אינם בוחרים עורפי VPN שונים, ותעודה שמציינת זהות אחת לא תספק עמית שמצפה לאחרת. אשרו מה העמית מאמת לפני שאתם מניחים שהכתובת לבדה מכריעה בכך.

קבלו את העיצוב על ידי צפייה בחיבור אחד

בדקו לאן חיבור מורשה חדש נמסר בפועל, איזו זהות עונה ואיזה זרם פרטי מותר לאחר מכן. שלוש תצפיות, שלושה שכבות שונות, וחיפוש ציבורי מוצלח של הכתובת אינו בודק אף אחת מהן.

שמרו גם את המקרה השלילי: עמית שלא אמור להתקבל, או קידומת פנימית שלא אמורה להיות נגישה, מאומתים לאחר השינוי. הרשומה שכתבתם בהתחלה היא מה שמאפשר את הבדיקה הזו בלי לשחזר את העיצוב מהזיכרון.

המטרה של כל זה היא לאפשר לבעל הרשת לבחור שיטת הקצאה נתמכת במקום להסתמך על טענה כללית לגבי מה שכל חומת אש יכולה לעשות עם כתובת נוספת. הטענה הזו היא בדיוק המקום שבו העיצובים האלה נכשלים, כי היא נשמעת סבירה בכל פלטפורמה ואינה נכונה באופן כללי באף אחת. הרשומה של ארבע שורות מכריעה זאת עבור הפלטפורמה שלכם בעשר דקות.