Paket mana yang harus dicocokkan kebijakan VPN dua WAN?

Permintaan untuk merutekan VPN melalui uplink kedua menggambarkan setidaknya dua pekerjaan berbeda, dan kebijakan yang memperbaiki satu tidak menyentuh yang lain. Pada pekerjaan pertama, transportasi terenkripsi antara dua ujung pindah ke alamat WAN lain. Pada pekerjaan kedua, alur aplikasi terdekripsi milik pengguna yang terhubung keluar menuju hop berikutnya yang berbeda. Keduanya sah, keduanya memakai perutean, dan masing-masing memerlukan kecocokan pada paket yang ada di titik keputusan diambil. Jalankan pemeriksaan di bawah ini secara berurutan, karena yang pertama menentukan paket mana yang harus disebut aturan berikutnya.

Namai kedua percakapan

Bayangkan seorang pekerja jarak jauh yang terhubung ke gateway kantor, membuka HTTPS ke server aplikasi internal. Ada dua percakapan independen di kabel, dan keduanya punya alamat berbeda di tiap ujung. Percakapan luar berjalan antara dua ujung VPN: dari alamat gateway ke alamat peer, dengan protokol dan port apa pun yang dinegosiasikan penerapan. Percakapan dalam berjalan dari alamat yang diberikan kepada klien ke alamat server aplikasi pada port 443.

Port tujuan aplikasi bukan port transportasi VPN, dan tidak ada jumlah kebijakan pada TCP 443 yang akan memindahkan terowongan. Sama halnya, aturan yang mengalihkan alamat transportasi peer tidak mengatakan apa pun tentang ke mana permintaan HTTP pengguna itu pergi setelah dekripsi. Catat kedua percakapan dengan alamat aslinya sebelum menyentuh aturan, karena sebagian besar kebingungan di bidang ini berasal dari menamai yang satu dan mengonfigurasi yang lain.

Temukan di mana kebijakan Anda benar-benar dapat melihat paket

Kecocokan harus dievaluasi pada rantai dan ruang nama tempat paket masih dalam bentuk yang Anda jelaskan. Aturan yang dipasang pada ingress LAN melihat paket dalam, tanpa enkripsi, sebelum dirutekan menuju terowongan. Aturan yang diterapkan pada lalu lintas yang berasal dari lokal melihat paket yang dihasilkan gateway itu sendiri, dan aturan itu tidak otomatis mencakup lalu lintas yang hanya diteruskan gateway. Keluaran terenkapsulasi adalah kasus ketiga lagi, biasanya ditangani pada antarmuka yang membawa terowongan, bukan di sisi LAN.

Itulah sebabnya cuplikan konfigurasi yang sama berperilaku berbeda di dua platform: titik pemasangannya berbeda, dan kait kebijakan vendor bisa berada sebelum atau sesudah langkah enkripsi. Bacalah jalur paket untuk produk tertentu alih-alih mengasumsikan urutannya dari diagram vendor lain.

Konfirmasi transportasi yang Anda negosiasikan

Untuk IPsec yang dienkapsulasi UDP, RFC 3948 menempatkan ESP di dalam UDP dan memakai penanda bukan ESP agar IKE tetap dapat dibedakan pada port bersama. ESP biasa adalah protokol IP, bukan port TCP atau UDP, sehingga aturan firewall yang ditulis berdasarkan nomor port tidak akan cocok sama sekali. Perbedaan inilah yang menentukan apakah kebijakan WAN Anda memerlukan aturan UDP, aturan protokol, atau keduanya.

Nilai yang dinegosiasikan mengalahkan nilai yang diingat. Bacalah port dan alamat asosiasi saat ini dari perangkat alih-alih menambahkan TCP 4500 atau port vendor lama untuk berjaga-jaga, yang menangkap lalu lintas tak terkait dan menyembunyikan masalah klasifikasi sebenarnya.

Periksa jalur balik sebelum berkomitmen

Keberhasilan keluar membuktikan separuh rancangan. Paket yang kembali ke kumpulan klien jarak jauh tidak lagi terlihat di bawah alamat klien begitu enkapsulasi menggantikannya: tujuan luar adalah alamat transportasi peer. Jika uplink kedua mencapai peer itu melalui operator berbeda, penerjemahan dan penyaringannya bisa tidak sesuai dengan yang pertama, dan asosiasi mungkin perlu dibangun ulang alih-alih dimigrasikan.

Keadaan penerjemahan alamat jaringan adalah korban biasa dari pergantian WAN. Catat uplink yang dipilih, alamat sumber luar yang diharapkan, penerjemahan yang dipakai, dan keterjangkauan peer kembali ke sana, lalu jaga transportasi tetap terjangkau tanpa mengirimnya ke terowongan yang dibawanya.

Verifikasi kedua lapisan dengan dua tangkapan

Satu tangkapan di antarmuka WAN dan satu di dalam terowongan menyelesaikan pertanyaan lebih cepat daripada perbandingan konfigurasi apa pun. Jalankan keduanya dari gateway saat klien yang disetujui melakukan satu permintaan, dan simpan kedua berkas.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Tangkapan pertama harus menunjukkan percakapan luar meninggalkan antarmuka yang Anda maksud, dengan alamat sumber yang diharapkan. Tangkapan kedua harus menunjukkan percakapan dalam sekali saja, tidak terduplikasi, dengan alamat klien sebagai sumber dan server aplikasi sebagai tujuan. Pencarian rute memastikan tabel mana yang akan dipakai perute untuk pasangan sumber dan tujuan itu, dan di situlah kesalahan kebijakan biasanya muncul. Jika salah satu tangkapan tidak muncul, titik keputusan ada di tempat lain, bukan di tempat aturan dipasang, dan perbaikannya ada di sana, bukan pada kecocokan yang lebih luas.