L2TP, GRE немесе IPsec: сессияны қай қабат алып жүруі керек?

Екі сұрақ бір дизайн жазбасында L2TP, GRE және IPsec кездескен сайын шатасады: мен қай сессияны алып жүрмін және оны қай қабат қорғайды? Біріншісін қате шешсеңіз, төмендегінің бәрі ішкі жағынан үйлесімді болып қалады, бірақ қате мәселені шешеді — пайдаланушыларға қосылу қажет болған жерде маршрутталған қабат жабынды салынған, немесе сайт-сайт шлюзінің орнына қосылу концентраторы тұр. Төмендегі жұмыс парағы біреу құрылғыға кірмес бұрын осы айырмашылықты талап етеді. Оны ретімен толтырыңыз, сонда әр жол жеке тексеруге болатын нәрсеге айналады.

Протоколдар тізімінен емес, сессиядан бастаңыз

PPP сессиясын ұстап тұрған қашықтағы пайдаланушы мен екі шлюз арасындағы маршрутталған қабат жабынды — екеуі де соңында IPsec-ке оралса да, бұл екі түрлі желілік қатынас. Біріншісі әр пайдаланушының байланысын аяқтайды және мекенжайларды бөлуді, адамның немесе құрылғының аутентификациясын және сол пайдаланушы қай ішкі желілерге жете алатынын атайтын саясатты қажет етеді. Екіншісі ешкім қосылмайтын сайттар арасында пакеттерді жібереді.

Екеуінің қайсысын салып жатқаныңызды атайтын бір сөйлем жазыңыз, содан кейін оны өзіңіз оны басқаратын адамдай оқып шығыңыз. Егер сөйлемге «және» сөзі қажет болса, сіз екеуін де салып жатырсыз, ал жұмыс парағына әрқайсысына жартылай қызмет ететін бір ымыралы бағанның орнына екі баған қажет. Егер ол пайдаланушыны атаса, бірақ мекенжай пулын атамаса, немесе префиксті атаса, бірақ жіберу саясатын атамаса, сөйлем әлі толық емес. Тұжырым бюрократиялық естіледі, бірақ бұл өзгеше жағдайда қолдау қызметінің билетімен табылатын дизайнды ұстаудың ең арзан жері.

Әр қабатқа дәл бір тапсырма беріңіз

L2TPv2 өзінің екі соңғы нүктесі арасында PPP сессияларын алып жүреді. PPP байланыс келіссөзін және келісілген кезде пайдаланушының аутентификациясын жүргізеді; L2TP ешқандай криптография қоспайды, сондықтан жалаң L2TP демоны IPsec қауіпсіздік қатынасының ешбір бөлігін іске асырмайды және тек сіз сенетін байланыстың ішінде ғана болады.

GRE — екі мекенжай арасындағы инкапсуляция. Ол желілік қабат пакеттерін логикалық қабат жабынды арқылы алып жүреді және өз бетінше не құпиялылықты, не аутентификацияланған серіктес сәйкестігін ұсынбайды. Бұл ақау емес: тақырыпша қарапайым болып жасалған, сондықтан жіберу техникасында өңдеуге арзан болып қалады. Салдары — GRE тек осы пакетті екі мекенжай арасында қалай жылжыту керектігіне жауап береді және басқа ештеңеге емес, ал бұл дәл оған қою керек сұрақ.

Сонда IPsec трафикті таңдайтын, серіктестерді аутентификациялайтын және оған қорғау айтылған нәрсені шифрлайтын қабат ретінде қалады. Қандай трафикті қорғайтыны — конфигурация шешімі, ол соңғы нүктелер нақты жасайтын инкапсуляцияға сәйкес келуі керек, өйткені GRE сыртқы мекенжайы үшін жазылған саясат ішкі префикстер үшін жазылғаннан өзгеше әрекет етеді. GRE спецификациясы жүкті, GRE тақырыпшасын және сыртқы жеткізу протоколын көрнекі түрде бөлек ұстайды, ал сіздің саясатыңызға да сол бөлектік қажет.

Конфигурациядан бұрын пакет жолын жазыңыз

Бір пакетті алып, қосылатын әр тақырыпшаны қосылу ретімен жазып шығыңыз және оны қосатын құрылғыны атаңыз. Қосылатын пайдаланушы үшін бұл әдетте IPsec ішіндегі L2TP ішіндегі PPP; сайт қабат жабындысы үшін бұл IPsec ішіндегі GRE ішіндегі ішкі IP пакеті. Егер екі құрылғы бір тақырыпшаны қосса, сізде цикл немесе қайталанған туннель бар, және саясатты қанша өңдесеңіз де оны түзетпейді.

Сол тізім MTU-ды шешеді, өйткені пайдалануға болатын ішкі өлшем — өлшенген жол MTU-ынан дәл атаған тақырыпшаларды шегергендегі және басқа ештеңе емес. Форум жазбасынан сан көшірмеңіз: сыртқы IP, UDP және ESP шығынын, содан кейін GRE немесе L2TP-ны, содан кейін қажет жерде PPP-ны қосып, нақты өлшенген жол MTU-ынан шегеріңіз. Тек үлкен жіберілімдерде пайда болатын белгілер немесе орнаған соң бірінші үлкен жауапта өлетін сессиялар әдетте бұл қосудың болжаммен жасалғанына әкеледі.

Әр қабатты бөлек, сырттан ішке қарай тексеріңіз

Тексерулерді ретімен орындаңыз және бірінші сәтсіз болғанында тоқтаңыз. Әр жол басқа сұраққа жауап береді, сондықтан сәтсіздік туннель бұзылды деудің орнына жұмыс парағының бір бағанын көрсетеді.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Cisco қорабында эквивалент рөлге байланысты, ал нақты синтаксис платформа мен шығарылымға байланысты: IPsec серіктестері үшін show crypto session, GRE немесе туннель интерфейсі үшін интерфейс санағыштары, және қосылу рөлі үшін VPDN немесе PPP тексеруі. PPP-ны аяқтайтын командалар жиынтығы GRE қолдауы туралы ештеңе дәлелдемейді, ал жұмыс істеп тұрған GRE интерфейсі PPP қызметі туралы ештеңе дәлелдемейді, сондықтан диаграммадағыны емес, нақты конфигурациялаған рөлді тексеріңіз.

Әр шығысты өзі тиесілі жұмыс парағы жолының қасына жазып қойыңыз. Ақау белсенді кезде алынған жазбалар кейіннен жадыдан қайта салынған топологиядан қымбат.

Бұзудың ретін белгілеңіз, содан кейін қайта тексеріңіз

Бұзу кері ретпен жүреді, себебі бар: қорғалған трафикті IPsec саясатынан ол үшін жазылған инкапсуляцияны жоймас бұрын алып тастаңыз, әйтпесе саясат енді жоқ интерфейсті көрсетіп қалады және келесі конфигурация жүктеуі байланысы жоқ жерде сәтсіз аяқталады. Linux-та бұл туннель интерфейсінен бұрын күй мен саясат жазбаларын жоюды білдіреді; маршрутизаторда — туннельден бұрын crypto картасын немесе профиль жазбасын алып тастауды.

Қайта салғаннан кейін қабылдаудың төрт байқауын бір-бірлеп қайталаңыз: сыртқы қолжетімділік, орнатылған IPsec бірлестігі, дизайн қамтитын жерде орнатылған PPP сессиясы және нақты межелі мекенжайға ішкі жіберу. Бір жасыл шам қалған үшеуіне дәлел емес, және дәл сол алшақтық өндірісте ең ұзақ өмір сүретін сәтсіздік — туннель қосылып тұр, шифрланған, бірақ ештеңе жібермейді, өйткені ішкі маршрут ешқашан қосылмаған.

Толтырылған жұмыс парағын құрылғы конфигурациясының қасында ұстаңыз. Толтыра алмайтын кез келген баған — тапсырма тағайындалмаған қабат, ал тапсырмасы жоқ қабат әдетте стекте болмауы керек қабат.