Сайттан сайтқа VPN үшін нені жазу керек: селекторлар мен ауқым

Туннель іске қосылғаннан алты ай өткен соң жаңа қосалқы желі саясатқа сәйкес келуін тоқтатады, ал ортақ қоймадағы жалғыз құжат кеңсе VPN деп тұр. Бұл — селектор жазбасының алдын алатын ақауы, және ол нақты: мекенжайлар жиынтығы өзгерді, ал қағаздар өзгермеді. Жазбаны дұрыс жазу дегеніміз бірнеше мекенжай жиынының қайсысын сипаттап отырғаныңызды білу, және өзіңіз конфигурациялағанды емес, қарсы жақ шын мәнінде қолданатынды жазу.

Конфигурацияланған — келісілген емес

Саясатқа негізделген IPsec туннелінде әр жақ трафик селекторларын ұсынады: балама ассоциация үшін көз және межелік ауқымдарын. Жауап беруші жақ бұл ұсынысты тарылтуға құқылы , сондықтан орнатылған ассоциация конфигурация тізімдегеннен азырақ қамтуы мүмкін. Конфигурацияны көшіретін жазба сол себепті ниетті сипаттайды, ағымдағы қорғаныс ауқымын емес. Екеуі үнсіз алшақтайды, және туннель күйі бетінде бұған ештеңе нұсқамайды.

Екі бағанды да байқаған күніңізбен бірге сақтаңыз. Конфигурацияланған селектор — ниет еткеніңіз; келісілгені — ядро қазір қолданып отырғаны. Олар ерекшеленсе, бұл айырмашылық күтпеген ақауды маршруттау қатесінен әлдеқайда жиі түсіндіреді.

Бір ассоциация әрбір конфигурацияланған жұпты да білдірмейді. Бірнеше селектор комбинациясы бар туннель бірнеше балама ассоциациямен аяқталуы мүмкін, ал олардың біреуін ғана тізімдейтін жазба — толық емес тізім. Оларды қорытындылаудың орнына тізімдеңіз.

Маршрутқа негізделген туннельдер басқаша таңдайды

Маршрутқа негізделген интерфейсте туннельге ненің кіретінін маршруттау кестесі шешеді, ал селекторлар әдейі кең болуы мүмкін. Бұл — немқұрайлылық емес, заңды жобалау, және жазба оны солай сипаттауы керек. Маршрутты, ол бағытталған интерфейсті және қандай қызметтерге қол жеткізуге болатынын шектейтін брандмауэр саясатын жазыңыз. Қорғаныс ауқымы әдейі кең, ал тарылтуды қызмет ауқымы жасайды.

Саясатқа негізделген үлгіні маршрутқа негізделген туннельге көшіру енгізу пайдаланбайтын механизмді сипаттайтын құжат жасайды. Содан кейін келесі инженер онда ешқашан болмауы тиіс селекторларды іздейді және туннель жай ғана нашар құжатталған кезде оны қате конфигурацияланған деп қорытындылайды.

Аударма сол кестеге жатады

NAT қарсы жаққа басқа ауқымды көрсеткенде, бастапқы және аударылған префикстерді бірге жазыңыз. Селекторлар мен қатынау ережелері оларды қай кезеңде сәйкестендіретінін белгілеңіз, өйткені реттілік алыс жақ сіз жазған мекенжайды көріп-көрмейтінін шешеді. Екі ауқымның біреуі ғана бар кесте кесте жоқтан жаман, өйткені ол толық болып көрінеді.

Бұл — NAT өзгерісінен кейін жұмыс істеп тұрған туннельді сындыратын бөлшек: селектор әлі де бастапқы префикске сәйкес келеді, қарсы жақ енді аударылғанды алады, ал оның қайту маршруты енді жоқ мекенжайға нұсқайды. Екеуі келісуді тоқтатқан сәтте ештеңе қате жазбайды.

Жеке DNS сол жерге жатады. Тиісті сайттан пайдалануға болмайтын мекенжайға шешілетін атау — қолдау билеті тіркелген құжаттама қатесі, және ол үшін туннель кінәланады.

Қызмет талабын тіркеңіз

Қорғалған ауқым — рұқсаттар тізімі емес. Қандай қызметтер қай көзден қолжетімді болуы керектігін және олардың артындағы қолданба кімге тиесілі екенін жазыңыз. Бұл екі өріс түрлі сұрақтарға жауап береді, ал оларды шатастыру — қауіпсіздік шолуының соңында қатынау емес, маршруттау туралы дауласуының жолы.

Содан кейін ережені ұстап тұратын желі әкімшісін атаңыз. Иесіз селектор тізімі үнсіз ескіреді, ал түнде сағат екіде туннель үзілгенде ескіргенді қатеден ажырату мүмкін емес. Иесі — өзгеріс әдейі болғанын растай алатын адам да.

Жазбаны тест жоспарына айналдырыңыз

Әрбір қажетті жол үшін өкілдік көз және межелік хост таңдап, күтілетін маршрутты, қызметті және жауап қақпасын белгілеңіз. Бұл құжатты сипаттаманың орнына тест жоспарына айналдырады. Тірі ассоциацияны төмендегі командамен оқып, оны жазып алған келісілген жолмен салыстырыңыз.

swanctl --list-sas

Бес жолды қаңқа жазбаны адал ұстауға әдетте жеткілікті. Төмендегі нұсқа өзгеріс билетіне қиылмай сыйады:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Тек қақпаға ping жасау — қабылдау тесті емес. Ол транзиттік жолды ешқашан жаттықтырмайды, сондықтан әрбір жіберілген ағын сәтсіз болғанда да өтуі мүмкін. Бір жақтағы хосттан екінші жақтағы қызметке тест жасап, жауаптың туннель арқылы келетінін растаңыз. Тек ping өтсе, жазба дәл соны болдырмау үшін жазылған жіберу мәселесін жаңа ғана тапты. strongSwan жіберу құжаттамасы селекторлар, маршруттар және жіберудің Linux серіктесінде қалай өзара әрекеттесетінін түсіндіреді.