Hvaða pakka þarf VPN-stefna með tveimur WAN að passa við?

Beiðnir um að beina VPN yfir seinni upptenginguna lýsa að minnsta kosti tveimur mismunandi verkum, og stefnan sem lagar annað snertir ekki hitt. Í fyrra verkinu flyst dulritaður flutningur milli tveggja endapunkta á aðra WAN-tölu. Í hinu síðara fer afkóðuð forritastraum tengds notanda út í átt að öðru næsta hoppi. Bæði eru lögmæt, bæði nota beiningar, og hvort um sig þarf samsvörun á pakka sem er til á þeim stað þar sem ákvörðunin er tekin. Farðu í gegnum prófanirnar hér að neðan í réttri röð, því fyrsta ákvarðar hvaða pakka síðari reglur verða að nefna.

Nefndu samræðurnar tvær

Ímyndaðu þér fjarvinnanda sem er tengdur skrifstofuhliði og opnar HTTPS á innri forritamiðlara. Tvær óháðar samræður eru á línunni, og þær hafa mismunandi tölur á hvorum enda. Ytri samræðan gengur milli tveggja VPN-endapunkta: frá hliðartölu yfir á jafningjatölu, í hvaða samskiptareglum og tengi sem uppsetningin samdi um. Innri samræðan gengur frá tölunni sem biðlarinn fékk yfir á tölu forritamiðlarans á tengi 443.

Áfangatengi forritsins er ekki flutningstengi VPN-sins, og engin stefna á TCP 443 færir göngin. Jafnframt segir regla sem beinir flutningstölu jafningsins á annan stað ekkert um hvert HTTP-beiðni þess notanda fer eftir afkóðun. Skrifaðu báðar samræðurnar niður með raunverulegum tölum þeirra áður en þú snertir reglu, því mest af ruglingi á þessu sviði kemur af því að nefna aðra og stilla hina.

Finndu hvar stefnan þín sér pakkann í raun

Samsvörunin verður að vera metin í þeirri keðju og nafnrými þar sem pakkinn er enn í þeirri mynd sem þú lýstir. Regla sem er hengd á LAN-innstreymi sér innri pakkann ódulritaðan, áður en honum er beint að göngunum. Regla sem beitt er á umferð sem verður til á staðnum sér pakka sem hliðsvæðið býr sjálft til, og hún nær ekki sjálfkrafa yfir umferð sem hliðið aðeins sendir áfram. Innvafður útgangur er aftur þriðja tilvikið, yfirleitt meðhöndlað á viðmótinu sem ber göngin en ekki á LAN-hliðinni.

Þess vegna hegðar sama stillingarbúturinn sér öðruvísi á tveimur kerfum: festipunktarnir eru mismunandi, og stefnukrókur framleiðanda getur verið fyrir eða eftir dulritunarskrefið. Lestu pakkaleiðina fyrir tiltekna vöru í stað þess að gera ráð fyrir röðinni út frá skýringarmynd annars framleiðanda.

Staðfestu flutninginn sem þú samdir um

Fyrir IPsec sem er innvafið í UDP setur RFC 3948 ESP inni í UDP og notar merki sem er ekki ESP til að halda IKE aðgreinanlegu á sameiginlega tenginu. Venjulegt ESP er IP-samskiptareglur, ekki TCP- eða UDP-tengi, svo eldveggjarregla skrifuð eftir tengisnúmeri passar alls ekki við það. Þessi greinarmunur ákvarðar hvort WAN-stefnan þín þarf UDP-reglu, reglu um samskiptareglur eða bæði.

Samdar gildi vinna yfir munað gildi. Lestu núverandi tengi og tölur samtengingarinnar úr tækinu í stað þess að bæta TCP 4500 eða gömlu tengi framleiðanda við til öryggis, sem grípur ótengda umferð og felur raunverulega flokkunarverkefnið.

Athugaðu endurleiðina áður en þú skuldbindur þig

Árangur út á við sannar helming hönnunar. Pakki sem snýr aftur að hópi fjarbiðlara er ekki lengur sýnilegur undir tölu biðlarans þegar innvafningin kemur í staðinn: ytri áfangastaðurinn er flutningstala jafningsins. Ef seinni upptengingin nær þeim jafningja um annan flutningsaðila geta þýðing hennar og síun ekki verið sammála þeirri fyrri, og samtenginguna gæti þurft að byggja upp á nýjan leik frekar en flytja.

Staða þýðingar netfanga er venjulegt fórnarlamb WAN-skipta. Skráðu valda upptengingu, væntanlega ytri upprunatölu, þá þýðingu sem er í notkun og aðgengi jafningsins aftur að henni, haltu síðan flutningnum aðgengilegum án þess að senda hann inn í göngin sem hann ber.

Sannprófaðu bæði lögin með tveimur upptökum

Ein upptaka á WAN-viðmótinu og ein inni í göngunum leysa spurninguna hraðar en hver stillingarsamanburður. Keyrðu þær frá hliðinu á meðan samþykktur biðlari framkvæmir eina beiðni, og geymdu báðar skrárnar.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Fyrri upptakan ætti að sýna ytri samræðuna yfirgefa viðmótið sem þú ætlaðir, með væntanlegri upprunatölu. Sú seinni ætti að sýna innri samræðuna einu sinni, ekki tvítekið, með tölu biðlarans sem uppruna og forritamiðlarann sem áfangastað. Leiðarleitin staðfestir hvaða töflu beinirinn myndi nota fyrir þetta uppruna- og áfangastaðapar, og þar kemur stefnuvilla venjulega í ljós. Ef önnur upptakan birtist ekki er ákvörðunarstaðurinn annars staðar en þar sem reglan var hengd, og leiðréttingin á heima þar en ekki í víðtækara samsvari.