VPN milli staða eða fjartenging: hvað hvor tengir saman

Báðar hönnunin kallast VPN og leysa mismunandi vandamál. Göng milli staða tengja saman tvö hlið, þannig að hver hýsill bak við þau getur náð leyfðum vistföngum hinum megin án þess að setja neitt upp. Fjartengingargöng tengja einstök tæki við net, einn biðlara í einu. Samanburðurinn skiptir máli því flest uppsetningarmistök verða til þegar annarri hönnun er stillt upp með því að búast við hegðun hinnar, og einkennið er yfirleitt tímamörk á þjónustu sem göngin náðu raunverulega til.

Tvær hannanir, tvö mörk

Hvorug hönnunin eykur LAN-útvarpssvæði. Tæki hinum megin birtast ekki á staðbundnum uppgötvunarlista, og að búast við því er fyrsta forsendan sem sleppa þarf. Einkarekin DNS-nöfn sem þú birtir viljandi eru fyrirsjáanlegri en nokkur uppgötvunarprótókoll og standast skipti á söluaðila.

Taktu 10.10.0.0/24 á einum stað og 10.20.0.0/24 á hinum. Hlið A þarf leið eða umferðarvalara sem sendir forskeytið 10.20.0.0/24 inn í göngin, og hlið B þarf spegilmynd þess. Hýslar beggja vegna nota þá venjulega IP-tengingu og komast aldrei að því að göng eru til. Þetta ósýnileiki er eiginleikinn, og þess vegna líta bilanir út eins og venjuleg netvillur frekar en villur í göngum.

Stefnumiðuð og leiðarmiðuð eru ekki sömu göng

Í IPsec-uppsetningu sem byggir á stefnu skilgreina samningsbundnu umferðarvalararnir nákvæmlega hvaða pör uppruna og áfangastaðar eru vernduð. Ef nýtt undirnet birtist bak við eitt hlið og enginn valari nær yfir það helst göngin uppi og nýja undirnetið er einfaldlega ekki flutt. Í leiðarmiðaðri hönnun tekur tengi við umferðinni og leiðatöflan ákveður, sem gerir það að bæta við forskeyti að leiðarbreytingu í stað endursamninga um göngin.

StrongSwan sýnir báðar sýnir beint, og að lesa þær saman er leiðin til að komast að því hvaða líkan þú settir í raun upp.

swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'

Valaralisti sem sleppir forskeytinu sem þér er mikilvægt skýrir bilunina án nokkurrar pakkaskráningar, og leið sem bendir á rangt tengi skýrir spegilbilunina á leiðinni til baka. Lestu bæði áður en þú semur aftur um nokkuð, því endurnýjun lykils bætir ekki við valara sem þú stilltir aldrei.

Skipuleggðu vistfangsgerðina fyrir göngin

Skörunarsvið eru hönnunarmistökin sem ekki er hægt að laga með stillingum. Ef báðir staðir nota 192.168.1.0/24 hefur hýsill sem þarf 192.168.1.50 tvo valkosti og enga leið til að velja. Göngin verða auðkennd, öryggistengingar verða stofnaðar, og leiðarákvörðunin verður samt röng eða óljós.

Veldu einn af þremur heiðarlegum valkostum: endurnúmera einn stað, þýða skörunarsviðið á hliðinu þannig að hvor hlið sjái sitt forskeytið, eða hætta við beina leiðsögn fyrir þessa hýsla og birta þjónustuna á annan hátt. Hver hefur sinn kostnað, og sá fyrsti er yfirleitt ódýstur á tveggja ára horfinu. Ákveddu áður en göngin eru til, því eftir á snertir breytingin hvert tæki sem hefur gamla vistfangið.

Leystu líka MTU-málið snemma. Göng minnka nothæfa hleðslu, og hönnun sem treystir á sundrun hegðar sér öðruvísi en sú sem festir MSS við hliðin.

Framsending og stefna eru utan gönganna

Hliðið verður að vera reiðubúið að senda pakka á milli tengis gönganna og LAN-tengis, og báðar áttir þurfa stefnu sem leyfir þjónustuna. Á Linux eru þetta tvær aðskildar stillingar, auk eldveggjarreglna sem ákveða hvort framsenda flæðið er yfirleitt leyft.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPT

Móttakahýsillinn bætir við þriðja lagi: eigin eldveggur hans verður samt að samþykkja biðlara frá fjarlæga undirnetinu. Skráaþjónn sem leyfir aðeins sitt staðbundna /24 mun hafna framsendri umferð frá 10.20.0.7, hversu heilbrigð göngin virðast sem er, og auðvelt er að lesa þá höfnun sem leiðarbilun.

Prófaðu frá hýsli, ekki frá hliðinu

Ping sem hliðið sjálft sendir getur fylgt öðru upprunavistfangi og annarri stefnu en framsend notendauumferð. Það gerir það að veikri prófun og stundum villandi: það tekst meðan forritið mistekst, eða mistekst meðan forritið virkar.

ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/null

Notaðu raunverulegan hýsil, raunverulegt upprunavistfang og raunverulegt prótókoll sem forritið notar. Lestu síðan svarleiðina sérstaklega, því virk áframátt án leiðar til baka framleiðir tímamörk sem líta nákvæmlega eins út og lokuð þjónusta.

Veldu hönnunina eftir spurningunni sem þú svarar: ertu að tengja net eða taka við tækjum? Allt annað, þar á meðal hvaða söluaðila þú stillir, leiðir af því svari.