Ինչ գրանցել կայքից կայք VPN-ի համար՝ սելեկտորներ և շրջանակ
Սելեկտորների գրառումը պետք է ասի, թե ինչ է տեսնում յուրաքանչյուր կողմը։ Կարգավորված նախածանցները, բանակցված ասոցիացիաները, թարգմանությունը և ծառայության սեփականությունը բոլորը պատկանում են դրան։
Թունելը գործարկելուց վեց ամիս անց նոր ենթացանցը դադարում է համապատասխանել քաղաքականությանը, և համօգտագործվող պահոցի միակ փաստաթուղթը գրում է գրասենյակային VPN։ Դա այն ձախողումն է, որը կանխում է սելեկտորների գրառումը, և այն կոնկրետ է՝ հասցեների մի հավաքածու փոխվել է, մինչդեռ թղթերը՝ ոչ։ Գրառումը ճիշտ գրել նշանակում է իմանալ, թե մի քանի հասցեների հավաքածուներից որն եք նկարագրում, և գրանցել այն, ինչ մյուս կողմն իրականում կիրառում է, այլ ոչ այն, ինչ դուք եք կարգավորել։
Կարգավորվածը բանակցված չէ
Քաղաքականության վրա հիմնված IPsec թունելում յուրաքանչյուր կողմ առաջարկում է երթևեկության սելեկտորներ՝ աղբյուրի և նպատակակետի միջակայքեր դուստր ասոցիացիայի համար։ Պատասխանող կողմն իրավունք ունի նեղացնել այդ առաջարկը , ուստի տեղադրված ասոցիացիան կարող է ավելի քիչ ընդգրկել, քան թվարկում է կարգավորումը։ Կարգավորումը պատճենող գրառումը հետևաբար նկարագրում է մտադրություն, ոչ թե պաշտպանության ընթացիկ շրջանակը։ Երկուսը հանգիստ տարանջատվում են, և թունելի կարգավիճակի էջում ոչինչ դա չի մատնանշում։
Պահեք երկու սյունակները՝ ձեր դիտարկած ամսաթվի հետ։ Կարգավորված սելեկտորն այն է, ինչ նկատի ունեիք. բանակցվածը՝ այն, ինչ միջուկը հիմա է կիրառում։ Երբ դրանք տարբերվում են, այդ տարբերությունը բացատրում է անսպասելի ձախողումը շատ ավելի հաճախ, քան երթուղավորման սխալը։
Մեկ ասոցիացիան նաև չի ներկայացնում յուրաքանչյուր կարգավորված զույգ։ Մի քանի սելեկտորային համակցությամբ թունելը կարող է ավարտվել մի քանի դուստր ասոցիացիաներով, և դրանցից մեկը թվարկող գրառումը մասնակի գույքագրում է։ Թվարկեք դրանք՝ փոխարենը ամփոփելու։
Երթուղու վրա հիմնված թունելներն այլ կերպ են ընտրում
Երթուղու վրա հիմնված ինտերֆեյսի դեպքում երթուղային աղյուսակը որոշում է, թե ինչ է մտնում թունել, և սելեկտորները կարող են դիտավորյալ լայն լինել։ Սա օրինական ձևավորում է, ոչ թե անփութություն, և գրառումը պետք է այդպես նկարագրի այն։ Գրեք երթուղին, ինտերֆեյսը, որին այն ուղղված է, և հրապարակական պատի քաղաքականությունը, որը սահմանափակում է, թե որ ծառայություններն են հասանելի։ Պաշտպանության շրջանակը դիտավորյալ լայն է, և նեղացումը կատարում է ծառայության շրջանակը։
Քաղաքականության վրա հիմնված ձևանմուշը երթուղու վրա հիմնված թունելի վրա պատճենելը ստեղծում է փաստաթուղթ, որը նկարագրում է մեխանիզմ, որը տեղակայումը չի օգտագործում։ Հաջորդ ինժեները հետո փնտրում է սելեկտորներ, որոնք երբեք այնտեղ լինելու համար չէին նախատեսված, և եզրակացնում է, որ թունելը սխալ է կարգավորված, մինչդեռ այն պարզապես վատ է փաստաթղթավորված։
Թարգմանությունը պատկանում է նույն աղյուսակին
Երբ NAT-ը մյուս կողմին ներկայացնում է այլ միջակայք, գրանցեք բնօրինակ և թարգմանված նախածանցները միասին։ Նշեք այն փուլը, որտեղ սելեկտորներն ու մուտքի կանոնները համապատասխանեցնում են դրանք, որովհետև հերթականությունը որոշում է, թե արդյոք հեռավոր կողմը երբևէ կտեսնի ձեր գրած հասցեն։ Աղյուսակը, որն ունի երկու միջակայքերից միայն մեկը, ավելի վատ է, քան աղյուսակի բացակայությունը, որովհետև այն ամբողջական է թվում։
Սա այն մանրամասնությունն է, որը կոտրում է աշխատող թունելը NAT-ի փոփոխությունից հետո՝ սելեկտորը դեռ համապատասխանում է բնօրինակ նախածանցին, մյուս կողմը հիմա ստանում է թարգմանվածը, և նրա վերադարձի երթուղին ուղղված է հասցեի, որն այլևս գոյություն չունի։ Ոչինչ սխալ չի գրանցում այն պահին, երբ երկուսը դադարում են համաձայնել։
Մասնավոր DNS-ը պատկանում է նույն տեղին։ Անունը, որը լուծվում է համապատասխան կայքից անօգտագործելի հասցեի, փաստաթղթավորման սխալ է՝ կցված աջակցության տոմսով, և մեղքը կդրվի թունելի վրա։
Կցեք ծառայության պահանջը
Պաշտպանված միջակայքը թույլտվությունների ցանկ չէ։ Գրեք, թե որ ծառայությունները պետք է հասանելի լինեն որ աղբյուրից, և ով է դրանց հետևում գտնվող հավելվածի սեփականատերը։ Այդ երկու դաշտերը պատասխանում են տարբեր հարցերի, և դրանք խառնելն այն ուղին է, որով անվտանգության վերանայումը վերջում վիճում է երթուղավորման, այլ ոչ թե մուտքի մասին։
Ապա նշեք ցանցային ադմինիստրատորին, որը պահպանում է կանոնը։ Առանց սեփականատիրոջ սելեկտորների գույքագրումը հանգիստ հնանում է, և հնացածը չի տարբերվում սխալից, երբ թունելը կոտրվում է գիշերվա ժամը երկուսին։ Սեփականատերը նաև այն մարդն է, ով կարող է հաստատել, որ փոփոխությունը դիտավորյալ է եղել։
Դարձրեք գրառումը փորձարկման պլան
Յուրաքանչյուր պահանջվող ուղու համար ընտրեք ներկայացուցիչ աղբյուր և նպատակակետ հոսթ և նշեք սպասվող երթուղին, ծառայությունը և պատասխանի դարպասը։ Դա փաստաթուղթը նկարագրությունից վերածում է փորձարկման պլանի։ Կարդացեք գործող ասոցիացիան ստորև տրված հրամանով և համեմատեք այն ձեր գրած բանակցված տողի հետ։
swanctl --list-sasՀինգ տողանոց կմախքը սովորաբար բավական է գրառումը ազնիվ պահելու համար։ Ստորև տարբերակը տեղավորվում է փոփոխության տոմսում առանց կրճատման:
sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netopsՄիայն դարպասին ուղղված ping-ը ընդունման փորձարկում չէ։ Այն երբեք չի վարժեցնում տրանզիտ ուղին, ուստի կարող է անցնել, մինչդեռ յուրաքանչյուր փոխանցվող հոսք ձախողվում է։ Փորձարկեք մի կողմի հոսթից մյուս կողմի ծառայություն և հաստատեք, որ պատասխանը գալիս է թունելով։ Եթե անցնում է միայն ping-ը, գրառումը հենց նոր գտել է այն փոխանցման խնդիրը, որի կանխման համար գրվել էր։ strongSwan-ի փոխանցման փաստաթղթերը բացատրում է, թե ինչպես են սելեկտորները, երթուղիները և փոխանցումը փոխազդում Linux գործընկերոջ վրա։