Իրականում ով է պատասխանում VPN-ի հատուկ հասցեին։

Կազմակերպության հատկացման մեջ չօգտագործված մնացած հասցեն լսող չէ, և այն firewall-ին ավելացնելը ոչ մեկ չի ստեղծում։ Ինչ-որ բան պետք է ավարտի IKE-ն այդ հասցեում, և մեխանիզմը տարբերվում է՝ կախված նրանից՝ դարպասն է տիրում հասցեին, թե վերին սարքն է թարգմանում այն։ Հենց փաթեթի ուղին է տարբերում երկուսը, և այն որոշում է, թե որ հարթակի հատկանիշն է ձեզ անհրաժեշտ, նախքան որևէ մեկը կբացի փոփոխության հարցում։ Նախ մոդելավորեք ուղին, ապա ընտրեք։

Հասցեի հետևում գտնվող փաթեթի ուղին

Գործընկերը IKE է ուղարկում իրեն տրված հասցեին՝ UDP 500-ով կամ UDP 4500-ով, երբ NAT-ի անցումը խաղի մեջ է։ Ցանկացած սարք, որն այդ հասցեն ունի ուղու վրա, կա՛մ տեղում ընդունում է դատագրամը և պատասխանում, կա՛մ փոխանցում է այն այլուր։ Սրանք են միակ երկու հնարավորությունները, և այս հոդվածում մնացած ամեն ինչ բխում է նրանից, թե որն է ճիշտ։

Տեղում ընդունելը նշանակում է, որ այդ սարքում կա այդ հասցեին կապված սոկետ։ Փոխանցելը նշանակում է, որ դատագրամը վերագրվում է և ուղարկվում է մեկ այլ վերջնակետ, որն այդ ժամանակ ունի սոկետը։ UDP 500-ը թույլատրող firewall-ի կանոնը ձեզ ոչինչ չի ասում, թե այդ երկուսից որն է տեղի ունենում։

Գրեք գրառումը, նախքան որևէ բանի դիպչելը՝ հասցեն, որին դիմում են գործընկերները, ինչպես է վերին ցանցը այն հասցնում, տեղական ինտերֆեյսը կամ տրամաբանական վերջնակետը, որն ընդունում է այն, և գործընթացը, որը պատասխանում է IKE-ին։ Չորս տող, և յուրաքանչյուրը կարելի է ստուգել։ Երբ դրանցից մեկն անհայտ է, այդ անհայտը դիզայնի աշխատանքն է, ոչ թե ավելի ուշ լուծվող իրականացման մանրամաս։ Դրանք լրացնելը փոփոխության հարցումը հաստատելուց հետո հենց այն ձևն է, որով թարգմանության կանոնն ավելանում է սխալ սարքին։

Մոդել A. հասցեն պատկանում է դարպասին

Առաջին մոդելում դարպասն ինքն է պահում հասցեն՝ կա՛մ որպես երկրորդական հասցե գոյություն ունեցող ինտերֆեյսի վրա, կա՛մ որպես հասցե հատուկ ինտերֆեյսի վրա, կա՛մ որպես loopback, որը հարթակը սատարում է որպես թունելի վերջնակետ։ Սրանք երեք տարբեր հատկանիշներ են՝ երեք տարբեր կարգավորման ուղիներով, և այն հարթակը, որ սատարում է մեկին, կարող է չսատարել մյուսներին։

Հաստատեք, որ հարթակը և թողարկումը սատարում են հենց այդ դասավորությունը, նախքան դրա շուրջ նախագծելը։ Երթուղավորված բլոկը, ինտերֆեյսի լրացուցիչ հասցեն և loopback վերջնակետը փոխարինելի չեն, և մեկ թողարկման փաստաթղթերը չեն խոստանում, որ հաջորդը նույն կերպ կվարվի։

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Լսող սոկետն ապացույցն է։ Եթե հասցեին ոչինչ կապված չէ, դարպասը վերջավորողը չէ, անկախ նրանից՝ ինչ է ասում երթուղային աղյուսակը, և փաթեթների որսը ցույց կտա, որ դատագրամները գալիս են, բայց ոչինչ չի պատասխանում նրանց։

Երկրորդ ինտերֆեյս չդրեք ենթացանցում, որն արդեն գոյություն ունի տոպոլոգիայի այլ տեղում, և չենթադրեք, որ հարթակը կկարգավորի դա։ Ինտերֆեյսների համընկնող ենթացանցերը ստեղծում են աղբյուրի անորոշ ընտրություն և շատ հարթակներում՝ կարգավորելու լրիվ մերժում։

Մոդել B. վերին սարքը թարգմանում է այն

Երկրորդ մոդելում վերին firewall-ը պահում է հատուկ հասցեն և փոխանցում է երթևեկությունը մեկ այլ VPN դարպասի։ Սա նպատակակետի թարգմանություն է վերադարձի ուղով, և լիովին վավեր նախագիծ է, քանի դեռ այն այդպես փաստաթղթավորված է։

Ինչ որ այն չէ՝ ապացույց է, որ վերին սարքը ձեռք է բերել տեղական VPN սոկետ։ Թարգմանությունը փոխանցում է փաթեթներ, այն վերին արկղը IKE պատասխանող չի դարձնում։ Եթե վերին կանոնը հեռացվում է կամ դրա վերադարձի ուղին կտրվում է, VPN-ը կանգ է առնում, չնայած դարպասը առողջ է և նրա սեփական լսողները անվթար։

Գրանցեք երկու հասցեները՝ այն, որին դիմում են գործընկերները, և այն, որն իրականում տեսնում է դարպասը։ Այնուհետև գրանցեք տրանսպորտը և վերադարձի ուղին, որովհետև UDP 500-ի համար աշխատող, բայց փաթաթված ESP-ի համար չաշխատող թարգմանությունը կմիանա և հետո չի կարողանա կրել երթևեկություն, ինչը շփոթեցնող խափանում է հետագա վրիպազերծման համար։

Ինքնությունը արտաքին հասցեն չէ

IPsec-ը առանձնացնում է թունելի վերջնակետը նրա պաշտպանած երթևեկությունից, և ճարտարապետությունը այդ որոշումները պահում է տարբեր տեղերում։ Գործընկերների դիմած հասցեն փոխելը ինքնաշխատ չի փոխում, թե որ ներքին նախածանցներն են թույլատրված, որ երթուղիներն են տեղադրվում կամ ինչ ռեսուրսների կարող է հասնել սեսիան։

Նույնականացված ինքնությունը կրկին առանձին է։ IKEv2-ը կրում է ինքնության բեռ և նույնականացման փոխանակում, որոնք պարտադիր չէ, որ համընկնեն արտաքին փաթեթի հասցեին, և հենց դրա համար թարգմանված նախագիծը դեռ կարող է ճիշտ նույնականացվել։

Այդ անկախությունը օգտակար է և միաժամանակ՝ թակարդ։ Երկու DNS անուն, որոնք լուծվում են մեկ սովորական լսողի, չեն ընտրում տարբեր VPN հետին պլաններ, և մեկ ինքնություն անվանող վկայագիրը չի գոհացնի մյուսին սպասող գործընկերոջը։ Հաստատեք, թե ինչ է վավերացնում գործընկերը, նախքան ենթադրելը, որ դա որոշում է միայն հասցեն։

Ընդունեք նախագիծը՝ դիտելով մեկ կապ

Ուսումնասիրեք, թե որտեղ է իրականում հանձնվում նոր լիազորված կապը, որ ինքնությունն է պատասխանում և որ մասնավոր հոսքն է թույլատրվում դրանից հետո։ Երեք դիտարկում, երեք տարբեր շերտ, և հասցեի հաջող հրապարակային որոնումը դրանցից ոչ մեկը չի ստուգում։

Պահեք նաև բացասական դեպքը՝ գործընկեր, որը չպետք է ընդունվի, կամ ներքին նախածանց, որը չպետք է հասանելի լինի, ստուգված փոփոխությունից հետո։ Սկզբում գրված գրառումն այն է, ինչը հնարավոր է դարձնում այդ փորձարկումը՝ առանց նախագիծը հիշողությունից վերականգնելու։

Այս ամենի իմաստն այն է, որ ցանցի սեփականատերը կարողանա ընտրել սատարվող հատկացման մեթոդ՝ փոխարենը հենվելու ընդհանուր պնդման վրա, թե ինչ կարող է անել յուրաքանչյուր firewall լրացուցիչ հասցեով։ Հենց այդ պնդումն է այն տեղը, որտեղ այս նախագծերը սխալվում են, որովհետև այն հավաստի է հնչում յուրաքանչյուր հարթակում և ընդհանուր առմամբ ճիշտ չէ ոչ մեկում։ Չորս տողանոց գրառումը դա լուծում է ձեր հարթակի համար տասը րոպեում։