Koji paket mora pogoditi VPN politika s dva WAN-a?

Zahtjevi da se VPN usmjeri preko drugog uplinka opisuju najmanje dva različita posla, a politika koja rješava jedan ne dira u drugi. U prvom poslu šifrirani transport između dvije krajnje točke prelazi na drugu WAN adresu. U drugom dešifrirani aplikacijski tok povezanog korisnika izlazi prema drugom sljedećem hopu. Oba su legitimna, oba koriste usmjeravanje, i svaki traži podudaranje na paketu koji postoji u točki gdje se odluka donosi. Prođite kroz provjere ispod po redu, jer prva određuje koji paket kasnija pravila moraju imenovati.

Imenujte dva razgovora

Zamislite udaljenog radnika povezanog na uredski gateway, koji otvara HTTPS prema internom aplikacijskom poslužitelju. Na mreži su dva neovisna razgovora, i oni na svakom kraju imaju različite adrese. Vanjski razgovor teče između dvije VPN krajnje točke: od adrese gatewaya do adrese partnera, s onim protokolom i portom koje je implementacija dogovorila. Unutarnji razgovor teče od adrese dodijeljene klijentu do adrese aplikacijskog poslužitelja na portu 443.

Odredišni port aplikacije nije transportni port VPN-a, i nikakva količina politike na TCP 443 neće pomaknuti tunel. Isto tako, pravilo koje preusmjerava transportnu adresu partnera ne govori ništa o tome kamo ide HTTP zahtjev tog korisnika nakon dešifriranja. Zapišite oba razgovora s njihovim stvarnim adresama prije nego što dotaknete pravilo, jer većina zbrke u ovom području dolazi iz toga što se jedno imenuje a drugo konfigurira.

Nađite gdje vaša politika doista vidi paket

Podudaranje se mora procijeniti u lancu i imenskom prostoru gdje je paket još u obliku koji ste opisali. Pravilo prikačeno na LAN ulaz vidi unutarnji paket nešifriran, prije nego što bude usmjeren prema tunelu. Pravilo primijenjeno na lokalno generirani promet vidi pakete koje gateway sam stvara, i ono ne pokriva automatski promet koji gateway samo prosljeđuje. Enkapsulirani izlaz je opet treći slučaj, obično se obrađuje na sučelju koje nosi tunel, a ne na LAN strani.

Zato se isti isječak konfiguracije ponaša različito na dvije platforme: točke pričvršćivanja se razlikuju, a proizvođačka kuka politike može stajati prije ili poslije koraka šifriranja. Čitajte putanju paketa za konkretan proizvod umjesto da pretpostavljate redoslijed sa dijagrama drugog proizvođača.

Potvrdite transport koji ste dogovorili

Za IPsec enkapsuliran u UDP, RFC 3948 stavlja ESP unutar UDP-a i koristi oznaku koja nije ESP da IKE ostane razlučiv na zajedničkom portu. Obični ESP je IP protokol, a ne TCP ili UDP port, pa pravilo vatrozida napisano prema broju porta uopće ga neće pogoditi. Ova razlika odlučuje treba li vašoj WAN politici UDP pravilo, pravilo protokola ili oboje.

Dogovorene vrijednosti pobjeđuju zapamćene. Čitajte trenutne portove i adrese asocijacije s uređaja umjesto da dodajete TCP 4500 ili stari port proizvođača za svaki slučaj, što hvata nepovezani promet i skriva stvarni problem klasifikacije.

Provjerite povratnu putanju prije nego što se obvežete

Uspjeh u odlaznom smjeru dokazuje pola dizajna. Paket koji se vraća prema bazenu udaljenih klijenata više nije vidljiv pod adresom klijenta kada ga enkapsulacija zamijeni: vanjsko odredište je transportna adresa partnera. Ako drugi uplink dosegne tog partnera preko drugog operatera, njegov prijevod i filtriranje mogu se razilaziti s prvim, i asocijaciju će možda trebati ponovno izgraditi, a ne migrirati.

Stanje prijevoda mrežnih adresa uobičajena je žrtva promjene WAN-a. Zabilježite odabrani uplink, očekivanu vanjsku izvornu adresu, prijevod u upotrebi i dostupnost partnera natrag prema njoj, pa držite transport dostupnim bez slanja u tunel koji ga nosi.

Provjerite oba sloja s dva snimka

Jedan snimak na WAN sučelju i jedan unutar tunela rješavaju pitanje brže od bilo koje usporedbe konfiguracija. Pokrenite ih s gatewaya dok odobreni klijent izvršava jedan zahtjev, i sačuvajte obje datoteke.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Prvi snimak treba pokazati vanjski razgovor kako napušta sučelje koje ste namjeravali, s očekivanom izvornom adresom. Drugi treba pokazati unutarnji razgovor jednom, bez dupliciranja, s klijentskom adresom kao izvorom i aplikacijskim poslužiteljem kao odredištem. Pretraga rute potvrđuje koju bi tablicu usmjerivač koristio za taj par izvor i odredište, i tu se greška u politici obično pojavi. Ako se neki snimak ne pojavi, točka odluke je negdje drugdje, a ne tamo gdje je pravilo prikačeno, i ispravak pripada tamo, a ne u šire podudaranje.