Beinakerfisbundin vs. stefnubundin stað-til-staðar VPN: hvað er ólíkt

Báðar hönnunin vernda sömu umferð með sama IPsec vélbúnaði, og þær eru ólíkar að því hvað ákveður hvaða pakki fer inn í göngin. Í stefnubundinni tengingu gera samið umferðarval það verk; í beinakerfisbundinni gerir bein sem bendir á göngutengi það. Að rugla þessu tvennu framleiðir kunnuglegan stuðningsþráð þar sem göngin tilkynna sig uppsett á meðan forritið nær engu. Greinin skiptir mestu þegar þú bætir við neti, keyrir beinakerfisreglu eða villuleitar slóð sem fer hljóðlega út um ranga útgöngu.

Tvær leiðir til að ákveða hvað fer inn í göngin

Stefnubundið VPN byggir öryggisstefnu sem passar við forskeyti uppruna og áfangastaðar, og dulkóðar síðan það sem passar. Mótaðilinn verður að semja um samhæfða vala, svo raunverulegt umfang verður að lokum skurðpunktur þess sem báðir aðilar lögðu til. Ekkert utan þess skurðpunkts er varið, hvað sem beinakerfistöflunni segir.

Beinakerfisbundið VPN býr til tengi sem stendur fyrir göngin og lætur beinakerfistöfluna senda umferð inn í það. IKE-púkinn setur enn upp stöðuna og stefnuna fyrir hvert tengi, og það er smáatriðið sem er sleppt þegar ákveðið er að beinir hafi komið í stað dulkóðunar. Báðar hönnunin dulkóða með IPsec; aðeins valaferlið er ólíkt.

Lestu samanburðinn hér að neðan sem mengi bilanatákna en ekki stigatöflu, því hvorugur dálkurinn vinnur eitt og sér.

Stefnubundið: valið er samningurinn

Valin eru samin, ekki bara stillt. Leggðu til 10.10.0.0/16 öðru megin og 10.10.1.0/24 hinum megin, og samtengið nær yfir það sem samningaviðræðurnar urðu sammála um á meðan hver annar hýsill er utan við það.

Lestu uppsettu stöðuna í stað stillingarskrárinnar. Hjá Linux mótaðila eru eigin töflur kjarnans grunnsannleikurinn, og þær sýna hvað komst af samningaviðræðunum. Stefna sem nefnir réttu forskeytin án samsvarandi stöðu þýðir að samtengið var aldrei sett upp. Staða ásamt stefnu fyrir ranga forskeytið er hið gagnstæða vandamál, og hún framleiðir göngin sem líta heil út á meðan eitt undirnet nær engu.

sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sas

Berðu báðar útkomur saman við forskeytin sem þú telur þig vernda. Þessi eina samanburður leysir flestar tilkynningar um vinnandi göng með óaðgengilegum þjóni. Hann bendir líka á hvorn mótaðilann á að breyta, því misræmið sést venjulega aðeins í aðra átt.

Beinakerfisbundið: tengið er samningurinn

XFRM-tengi gefur göngunum nafn og auðkenni, og umferð nær til þess af því beinakerfistöflan segir svo. Nokkur fjarlæg forskeyti verða þá beinakerfisvandamál í stað valavandamáls, og beinakerfisregla getur tilkynnt þau. Það er raunverulegi ávinningurinn, ekki dulkóðunin.

Tengið fjarlægir ekki þörfina fyrir stefnu. Púkinn setur upp reglur fyrir hvert tengi sem eru bundnar auðkenni tengisins, svo pakki sem kemur á rangt tengi mistekst samt. Upprunavistfang sem mótaðilinn tekur ekki við mistekst líka, jafnvel með fullkomna bein. Beinakerfisbundið þýðir að beinin ræður inngöngunni, ekki að stefnan hafi horfið.

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10

Fylgstu með teljurum tengisins þegar beinin er komin á sinn stað. Bein sem er til á meðan teljararnir standa í núlli þýðir að ekkert er parað inn í göngin, sem bendir venjulega á vantaða stöðu frekar en vantaða bein.

Hvar hönnunin tvær skilja í raun

Að bæta við neti er hreinasta prófið á hvaða líkan hentar þér. Beinakerfisbundin hönnun bætir við bein og víkkar valið í mesta lagi einu sinni, á meðan stefnubundin hönnun breytir forskeytispörum hjá báðum mótaðilum og semur aftur. Tvö stöðug undirnet gera þá breytingu léttvæga, og tuttugu gera hana að verkefni.

Hvort líkan sem er kemur ekki í stað eldveggs, og samanburður stöðvast venjulega fyrir þennan punkt. Breitt val eða breið bein ræður því hvað er dulkóðað, ekki hvað er leyft.

MTU-hegðun er líka ólík í reynd. Innpakning minnkar nothæfa hleðslu, og beinakerfisbundið tengi ber sitt eigið MTU, svo að þrengja MSS hjá báðum gáttum kemur í veg fyrir svarthols-einkennið þar sem lítil svör berast og stór hverfa. Stefnubundin göng mæta sama veggnum frá hinni hliðinni, því valið segir ekkert um pakkastærð. Stilltu þrenginguna viljandi í stað þess að kenna mótaðilanum um.

Flutningur án þess að missa svarleiðina

Skráðu fyrirliggjandi forskeytispör áður en þú breytir nokkru, færðu síðan eina forritsslóð og fylgdu henni frá enda til enda. Göng sem setjast upp eru ekki göng sem senda áfram, og munurinn birtist í svaráttinni.

Þegar mótaðilarnir tengjast en LAN-hýslar geta það ekki, skoðaðu svarleiðina og upprunavistfangið sem fjarlægi hýsillinn mun nota. Hýsill með tvö tengi getur svarað frá hinu ranga, og engin breyting á vali lagar það. Gríptu umferð á báðum endum áður en þú breytir reikniritum.

ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-conns

Haltu stjórnslóð sem er ekki háð göngunum á meðan þú vinnur. Auðveldara er að fara til baka þegar eigin aðgangur gáttarinnar fer ekki um tenginguna sem þú ert að villuleita.