Hver svarar í raun á sérstakt vistfang VPN?

Vistfang sem liggur ónotað í úthlutun stofnunarinnar er ekki hlustandi, og að bæta því við eldvegg skapar engan. Eitthvað verður að ljúka IKE á því vistfangi, og aðferðin er mismunandi eftir því hvort gáttin á vistfangið eða tæki ofar á leið þýðir það. Það er slóð pakkans sem greinir þessi tvö tilvik, og hún ræður því hvaða eiginleika kerfisins þú þarft áður en einhver opnar breytingabeiðni. Líktaðu fyrst slóðinni og veldu svo.

Slóð pakkans bak við vistfangið

Jafningi sendir IKE á vistfangið sem hann fékk, á UDP 500 eða á UDP 4500 þegar NAT-för er í gangi. Hvaða tæki sem heldur því vistfangi á slóðinni tekur annaðhvort við gagnagreminu á staðnum og svarar henni, eða sendir hana áfram annað. Þetta eru einu tvær möguleikarnir, og allt annað í þessari grein leiðir af því hvor er réttur.

Móttaka á staðnum þýðir að sála er til á því tæki, bundin við það vistfang. Áframsending þýðir að gagnagrammið er endurskrifað og sent áfram á annan endapunkt, sem hefur þá sáluna. Eldveggjarregla sem leyfir UDP 500 segir þér ekkert um hvort af þessu tvennu er að gerast.

Skrifaðu skráninguna áður en þú snertir nokkuð: vistfangið sem jafningar hafa samband við, hvernig netið ofar á leið afhendir það, staðbundna viðmótið eða rökréttan endapunkt sem tekur við því, og ferlið sem svarar IKE. Fjórar línur, og hver er hægt að sannreyna. Þegar eitt þeirra er óþekkt er sú óþekkta hönnunarvinna en ekki útfærsluatriði sem ákveða á síðar. Að fylla þau út eftir að breytingabeiðni er samþykkt er hvernig þýðingarregla lendir á rangri tæki.

Líkan A: gáttin á vistfangið

Í fyrra líkaninu heldur gáttin sjálfri vistfanginu, annaðhvort sem aukavistfang á núverandi viðmóti, sem vistfang á sérstöku viðmóti, eða sem loopback sem kerfið styður sem endapunkt göngs. Þetta eru þrír mismunandi eiginleikar með þremur mismunandi stillingarslóðum, og kerfi sem styður einn styður kannski ekki hina.

Staðfestu að kerfið og útgáfan styðji nákvæmlega þessa uppsetningu áður en þú hannar í kringum hana. Beint blokk, aukavistfang á viðmóti og loopback-endapunktur eru ekki skiptanleg, og skjöl einnar útgáfu lofa því ekki að sú næsta hagi sér eins.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Hlustaða sálin er sönnunin. Ef ekkert er bundið við vistfangið er gáttin ekki endirinn, sama hvað leiðarvísitöflurnar segja, og pakkanám mun sýna gagnagrömin koma án þess að nokkuð svari þeim.

Setjið ekki annað viðmót í undirnet sem er þegar til annars staðar í netlaginu og gerið ekki ráð fyrir að kerfið leysi það. Skarast viðmótaundirnet valda óljósum upprunavali og á mörgum kerfum algjörri synjun á að stilla.

Líkan B: tæki ofar á leið þýðir það

Í seinna líkaninu heldur eldveggur ofar á leið sérstaka vistfanginu og sendir umferðina áfram á aðra VPN-gátt. Það er þýðing áfangastaðar með bakleið, og það er fullkomlega gild hönnun svo lengi sem hún er skjalfest sem slík.

Það sem hún er ekki er sönnun þess að tækið ofar á leið hafi fengið staðbundið VPN-sálu. Þýðingin sendir pakka áfram; hún gerir efri kassann ekki að IKE-svaranda. Ef reglan ofar á leið er fjarlægð eða bakleið hennar rofnar stöðvast VPN-ið þótt gáttin sé heilbrigð og hlustendur hennar sjálfra ósnortnir.

Skráðu bæði vistfangin: það sem jafningar hafa samband við og það sem gáttin sér í raun. Skráðu síðan flutninginn og bakleiðina, því þýðing sem virkar fyrir UDP 500 en ekki fyrir umlukið ESP tengist og mistekst síðan að bera umferð, sem er ruglingsleg bilun að kemba síðar.

Auðkenni er ekki ytra vistfangið

IPsec aðskilur endapunkt göngsins frá umferðinni sem það verndar, og arkitektúrinn heldur þessum ákvörðunum á mismunandi stöðum. Að breyta vistfanginu sem jafningar hafa samband við breytir ekki sjálfkrafa hvaða innri formerki eru leyfð, hvaða leiðir eru settar upp eða hvaða auðlindir setan getur náð.

Staðfesta auðkennið er aftur aðskilið. IKEv2 ber auðkennisbyrði og auðkenningarskipti sem þurfa ekki að passa við ytra pakkavistfang, og þess vegna einmitt getur þýdd hönnun enn auðkennt rétt.

Sú óháðni er gagnleg og jafnframt gildra. Tvö DNS-nöfn sem leysast í einn venjulegan hlustanda velja ekki mismunandi VPN-bakenda, og skírteini sem nefnir eitt auðkenni fullnægir ekki jafningja sem væntir annars. Staðfestu hvað jafninginn sannreynir áður en þú gerir ráð fyrir að vistfangið eitt ráði því.

Samþykktu hönnunina með því að fylgjast með einni tengingu

Skoðaðu hvert ný samþykkt tenging er í raun afhent, hvaða auðkenni svarar og hvaða einkaaðstreymi er síðan leyft. Þrjár athuganir, þrjú mismunandi lög, og farsæl opinber uppfletting vistfangsins prófar ekkert þeirra.

Haltu líka neikvæða tilvikinu: jafningi sem á ekki að samþykkja, eða innra formerki sem á ekki að vera aðgengilegt, sannreynt eftir breytinguna. Skráningin sem þú skrifaðir í upphafi er það sem gerir þá prófun mögulega án þess að endurbyggja hönnunina úr minni.

Tilgangurinn með öllu þessu er að leyfa neteigandanum að velja studda úthlutunaraðferð í stað þess að treysta almennri fullyrðingu um hvað sérhver eldveggur geti gert við aukavistfang. Einmitt sú fullyrðing er staðurinn þar sem þessar hannanir fara úrskeiðis, því hún hljómar trúlega á hverju kerfi og er almennt ekki sönn á neinu. Fjögurra línu skráningin leysir það fyrir kerfið þitt á tíu mínútum.