Melyik csomaghoz kell illeszkednie egy két WAN-os VPN-házirendnek?

A VPN átirányítása a második uplinkre típusú kérések legalább két különböző feladatot írnak le, és az egyiket megoldó házirend nem érinti a másikat. Az első feladatban a két végpont közötti titkosított átvitel másik WAN-címre kerül. A másodikban egy csatlakozott felhasználó visszafejtett alkalmazásfolyama egy másik következő ugrás felé lép ki. Mindkettő jogos, mindkettő útválasztást használ, és mindegyikhez illeszkedés kell egy olyan csomagra, amely létezik a döntés meghozatalának pontján. Haladjon végig az alábbi ellenőrzéseken sorrendben, mert az első határozza meg, melyik csomagot kell a későbbi szabályoknak megnevezniük.

Nevezze meg a két beszélgetést

Képzeljen el egy távoli munkatársat, aki egy irodai átjáróhoz csatlakozik, és HTTPS-t nyit egy belső alkalmazásszerver felé. Két független beszélgetés van a vezetéken, és mindkettőnek más-más címe van a két végén. A külső beszélgetés a két VPN-végpont között fut: az átjáró címétől a partner címéig, abban a protokollban és porton, amelyről a telepítés megállapodott. A belső beszélgetés az ügyfélnek kiosztott címtől az alkalmazásszerver címéig fut a 443-as porton.

Az alkalmazás célportja nem a VPN átviteli portja, és a TCP 443-on bármennyi házirend sem mozgatja az alagutat. Ugyanígy a partner átviteli címét átirányító szabály semmit sem mond arról, hová megy a felhasználó HTTP-kérése a visszafejtés után. Jegyezze fel mindkét beszélgetést a valódi címeikkel, mielőtt bármilyen szabályhoz nyúl, mert az ezen a területen tapasztalt zavar legnagyobb része abból ered, hogy az egyiket megnevezik, a másikat pedig beállítják.

Találja meg, hol láthatja a házirendje valóban a csomagot

Az illeszkedést abban a láncban és névtérben kell kiértékelni, ahol a csomag még az Ön által leírt formában van. A LAN-belépésre akasztott szabály a belső csomagot titkosítatlanul látja, mielőtt az az alagút felé irányul. A helyben keletkező forgalomra alkalmazott szabály azokat a csomagokat látja, amelyeket maga az átjáró állít elő, és nem fedi le automatikusan azt a forgalmat, amelyet az átjáró csak továbbít. A beágyazott kimenet megint harmadik eset, amelyet általában az alagutat vivő interfészen kezelnek, nem a LAN oldalán.

Ezért viselkedik ugyanaz a konfigurációrészlet másként két platformon: a csatlakozási pontok eltérnek, és egy gyártó házirend-horga a titkosítási lépés előtt vagy után is állhat. Olvassa el a csomagútvonalat az adott termékhez, ahelyett hogy a sorrendet egy másik gyártó ábrájából feltételezné.

Erősítse meg a megállapodott átvitelt

Az UDP-be beágyazott IPsec esetében a RFC 3948 az ESP-t az UDP belsejébe helyezi, és nem ESP jelölőt használ, hogy az IKE megkülönböztethető maradjon a megosztott porton. A sima ESP IP-protokoll, nem TCP- vagy UDP-port, ezért a portszámra írt tűzfalszabály egyáltalán nem illeszkedik rá. Ez a különbség dönti el, hogy a WAN-házirendjének UDP-szabályra, protokollszabályra vagy mindkettőre van-e szüksége.

A megállapodott értékek legyőzik az emlékezetben tartottakat. Olvassa ki az egyesítés jelenlegi portjait és címeit az eszközből, ahelyett hogy TCP 4500-at vagy egy régi gyártói portot tenne hozzá biztonság kedvéért, ami nem kapcsolódó forgalmat fog meg, és elrejti a valódi osztályozási problémát.

Ellenőrizze a visszautat, mielőtt elkötelezi magát

A kimenő irányú siker a tervezés felét bizonyítja. A távoli ügyfélkészlet felé visszatérő csomag már nem látható az ügyfél címén, amint a beágyazás helyettesíti: a külső cél a partner átviteli címe. Ha a második uplink egy másik szolgáltatón keresztül éri el ezt a partnert, annak fordítása és szűrése eltérhet az elsőétől, és előfordulhat, hogy az egyesítést inkább újra kell építeni, mint áttelepíteni.

A hálózaticím-fordítás állapota a WAN-váltás szokásos áldozata. Jegyezze fel a választott uplinket, a várt külső forráscímet, a használt fordítást és a partner visszaérhetőségét, majd tartsa az átvitelt elérhetővé anélkül, hogy bele küldené az alagútba, amelyet hordoz.

Ellenőrizze mindkét réteget két rögzítéssel

Egy rögzítés a WAN-interfészen és egy az alagút belsejében gyorsabban eldönti a kérdést, mint bármilyen konfiguráció-összehasonlítás. Futtassa őket az átjáróról, miközben egy jóváhagyott ügyfél egyetlen kérést hajt végre, és őrizze meg mindkét fájlt.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Az első rögzítésnek azt kell mutatnia, hogy a külső beszélgetés elhagyja a szándékolt interfészt, a várt forráscímmel. A másodiknak a belső beszélgetést egyszer kell mutatnia, nem duplikálva, az ügyfél címével forrásként és az alkalmazásszerverrel célként. Az útvonalkeresés megerősíti, melyik táblát használná az útválasztó ehhez a forrás-cél párhoz, és ott szokott jelentkezni egy házirendhiba. Ha valamelyik rögzítés nem jelenik meg, a döntési pont máshol van, mint ahová a szabályt akasztották, és a javítás oda tartozik, nem egy szélesebb illeszkedésbe.