Hvar VPN vefjarins þíns endar ræður því hvað er skoðað

Tækið sem afkóðar umferð milli staða ræður því hvað eldveggurinn getur enn skoðað. Dragðu mörkin fyrst og veldu svo beini eða eldvegg.

Göng milli staða fela eitt atriði sem ræður allri hönnun skoðunarinnar: nákvæma tækið þar sem innri pakinn birtist sem skýr texti. Allt fyrir þann punkt sér ESP, og allt eftir hann sér venjulegt IP sem regla getur gripið. Setja mörkin á rangann stað og eldveggurinn sem þú borgaðir fyrir verður beini með leyfi. Leiðarvísirinn hér að neðan dregur línuna fyrst og spyr svo hvaða tæki eigi að eiga hana.

Dragðu línuna þar sem pakinn hættir að vera dulkóðaður

Í gönguhætti er upprunalegi pakinn dulkóðaður og vafinn í nýjan ytri IP-haus sem er stefnt að gátt mótaðilans. Sá ytri paki ber siðareglu 50 fyrir ESP, svo hvaða tæki sem er milli gáttanna tveggja getur beint honum án þess að lesa innri vistföngin. Fyrsta tækið sem afkóðar er öryggismörkin, og það er líka fyrsta tækið sem getur beitt stefnu á innri strauminn. Allt neðan við þann punkt er venjuleg beining.

Merktu þrjá hluti á skýringarmyndina: ytri endapunktinn sem tekur við ESP, varin netin sem nefnd eru í stefnunni, og næsta stökk sem afkóðaði pakinn tekur. Ef þessi þrjú eru ekki á sama tækinu hefur þú yfirfærslu sem þarf að hanna, ekki einn stjórnpunkt.

RFC 4301 kallar tækið sem afkóðar öryggisgátt og líta á stefnu þess sem hluta markanna. Þetta er gagnlegra umgjörð en vöruflokkurinn, því tæki er mörk þegar það heldur stefnunni, ekki þegar gagnablaðið segir eldveggur.

Eldveggur sem endir: eitt tæki, einn stefnupunktur

Þegar eldveggurinn endar göngin þarf beininn fyrir ofan aðeins að skila ESP til hans. Eldveggurinn staðfestir mótaðilann, afkóðar og beitir svo venjulegum reglum sínum á innri pakann á leiðinni í VLAN netþjónanna. Þetta gefur einn stað til að lesa stefnu og einn stað til að lesa annála, sem endurskoðun krefst yfirleitt.

Athugaðu tvö heimildirnar aðskildar. Að leyfa IKE og ESP að tækinu er ekki sama regla og að leyfa fjarlægum stað að ná í netþjón, og eldveggur sem tekur við göngunum en lokar innri straumnum lítur nákvæmlega út eins og brotin göng frá hinum endanum.

Kostnaðurinn er að eldveggurinn er nú á leið allrar umferðar staðarins, svo afkastageta hans, setumörk og hegðun við bilun verða hegðun ganganna sjálfra. Mældu hann fyrir sameinuðu strauma staðarins, ekki fyrir fjar-aðgangsprófílinn sem hann var kannski keyptur fyrir.

Beini sem endir: skoðunarstökkið verður valfrjálst

Þegar beininn afkóðar er pakinn þegar skýr þegar hann nær beiningartöflunni. Ef sérstakur eldveggur á að skoða þá umferð verður beininn að senda hana í gegnum eldvegginn og endurkoman verður að koma sama veg. Bein leið frá beinanum í VLAN netþjónanna fjarlægir eldvegginn hljóðlaust af leiðinni en lætur hann standa á skýringarmyndinni.

Þetta er bilunin sem á að leita að í núverandi neti: tvær leiðir að sama forskeyti, ein í gegnum eldvegginn og ein bein, og sú beina vinnur á lengd forskeytisins eða mælikvarða. Göngin flytja enn umferð og skoðunin sem þú trúir á á sér ekki stað.

Leiðbundin göng gera þetta sýnilegt, því göngin eru viðmót sem hægt er að beina í gegnum annað tæki. Stefnutengd göng velja umferð með valara, sem getur skilið afkóðaða pakann eftir á beinanum án annars áfangastaðar.

Spurðu báða umsækjendurna sömu fimm spurninga

Stutt verkblað vinnur á eiginleikafylki, því hver spurning samsvarar einni línu á skýringarmyndinni. Spurðu hvern umsækjanda:

  • Hvaða IKE-útgáfur, hvaða aðferðir við staðfestingu mótaðila og hvaða beiningarlíkön styður þessi útgáfa í raun?
  • Hvar er ESP tekið við, og hvar er afkóðaði straumurinn leyfður eða synjaður?
  • Hvernig læra staðbundnir hýslar fjarlægu forskeytin, og hvernig lærir hin hliðin þín?
  • Hvaða afkastagetu, setufjölda og hegðun við bilun verður endapunkturinn að þola fyrir raunverulega álagið?
  • Hver á auðkenni mótaðilans, stefnuna og endurheimtarleiðina þegar göngin eru það sem er bilað?

pfSense skjalfestir stefnutengt og leiðbundið IPsec sem aðskilin líkön með aðskildum takmörkunum, og sá munur skiptir meira máli en merkimiðinn á kassanum. Athugaðu nákvæma stillingu og studda síun afkóðaðrar umferðar í þeirri útgáfu sem þú myndir í raun setja upp.

Ef umsækjandi getur ekki svarað annarri spurningunni með reglu sem þú getur lesið er það ekki mörkin sem þú vilt, sama hversu vel hann gerir allt annað. Biddu um texta reglunnar í stað já og farðu með óskýrt svar sem nei.

Staðfestu leiðina með sníkju, ekki með skýringarmynd

Skýringarmynd lýsir áformi og sníkju lýsir hegðun, svo staðfestu hvaða viðmót ber ESP og hvaða ber innri strauminn áður en þú treystir öðru hvoru.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ef fyrsta sníkjudæmið sýnir ESP koma og annað sýnir innri pakann á LAN-hliðinni er afkóðunarpunkturinn þar sem þú heldur. Ef innri pakinn birtist á hluta sem fer fram hjá eldveggnum er beiningin röng, hvað sem texti stefnunnar segir. xfrm-listinn sýnir þá hvaða valarar eru uppsettir og í hvaða átt.

Endurtaktu sníkjudæmið á endurleiðinni, því ósamhverf beining er algeng þegar staður hefur tvær mögulegar útgöngur. Göng sem virka í aðra áttina og ljúka með tímamörkum í hina eru næstum alltaf þetta, og engin stefnubreytíng hinum megin lagar það.

Tengdir greinar