Екі WAN-ды VPN саясаты қай пакетке сәйкес келуі керек?

VPN-ді екінші аплинк арқылы бағыттау туралы сұраныстар кемінде екі түрлі жұмысты сипаттайды, және біреуін түзететін саясат екіншісіне тиіспейді. Бірінші жұмыста екі шет арасындағы шифрланған тасымал басқа WAN мекенжайына ауысады. Екіншісінде қосылған пайдаланушының шифры ашылған қолданба ағыны басқа келесі қадамға шығады. Екеуі де заңды, екеуі де бағыттауды пайдаланады, және әрқайсысы шешім қабылданатын нүктеде бар пакетке сәйкестікті қажет етеді. Төмендегі тексерулерді ретімен орындаңыз, өйткені біріншісі кейінгі ережелер қай пакетті атауы керектігін анықтайды.

Екі әңгімені атаңыз

Кеңсе шлюзіне қосылған қашықтағы қызметкерді елестетіңіз, ол ішкі қолданба серверіне HTTPS ашады. Желіде екі тәуелсіз әңгіме бар, және олардың әр шетінде мекенжайлары әртүрлі. Сыртқы әңгіме екі VPN шетінің арасында жүреді: шлюз мекенжайынан серіктес мекенжайына дейін, орналастыру келіскен протокол мен портпен. Ішкі әңгіме клиентке берілген мекенжайдан 443 портындағы қолданба серверінің мекенжайына дейін жүреді.

Қолданбаның межелі порты VPN-дің тасымал порты емес, және TCP 443-тегі қандай да бір саясат туннельді жылжытпайды. Сол сияқты, серіктестің тасымал мекенжайын қайта бағыттайтын ереже сол пайдаланушының HTTP сұранысы шифр ашылғаннан кейін қайда кететіні туралы ештеңе айтпайды. Ережеге тиіспес бұрын екі әңгімені де нақты мекенжайларымен жазып алыңыз, өйткені бұл саладағы шатасудың көбі біреуін атап, екіншісін конфигурациялаудан туады.

Саясатыңыз пакетті шын мәнінде қай жерде көретінін табыңыз

Сәйкестік пакет әлі сіз сипаттаған пішінде тұрған тізбекте және атаулар кеңістігінде бағалануы керек. LAN кірісіне тіркелген ереже ішкі пакетті шифрланбаған күйде, ол туннельге бағытталмай тұрып көреді. Жергілікті туындаған трафикке қолданылатын ереже шлюздің өзі жасайтын пакеттерді көреді, және ол шлюз тек қана жіберетін трафикті автоматты түрде қамтымайды. Инкапсуляцияланған шығыс тағы үшінші жағдай, ол әдетте LAN жағында емес, туннельді тасымалдайтын интерфейсте өңделеді.

Сондықтан бір конфигурация үзіндісі екі платформада әртүрлі әрекет етеді: тіркеу нүктелері әртүрлі, және өндірушінің саясат ілмегі шифрлау қадамының алдында немесе кейін тұруы мүмкін. Басқа өндірушінің диаграммасынан ретті болжаудың орнына нақты өнім үшін пакет жолын оқыңыз.

Келіскен тасымалды растаңыз

UDP-ге инкапсуляцияланған IPsec үшін RFC 3948 ESP-ні UDP ішіне орналастырады және ортақ портта IKE ажыратылатын болуы үшін ESP емес белгіні пайдаланады. Қарапайым ESP — IP протоколы, TCP немесе UDP порты емес, сондықтан порт нөміріне жазылған брандмауэр ережесі оған мүлдем сәйкес келмейді. Бұл айырмашылық WAN саясатыңызға UDP ережесі, протокол ережесі немесе екеуі де керек пе екенін анықтайды.

Келісілген мәндер есте қалғандардан басым. Құрылғыдан бірлестіктің ағымдағы порттары мен мекенжайларын оқыңыз, сақтық үшін TCP 4500 немесе ескі өндіруші портын қосудың орнына, өйткені бұл байланыссыз трафикті ұстап, нақты жіктеу мәселесін жасырады.

Міндеттеме алмас бұрын қайтару жолын тексеріңіз

Сыртқа қарай табыс дизайнның жартысын дәлелдейді. Қашықтағы клиенттер пулына қайтатын пакет инкапсуляция оны алмастырғаннан кейін клиент мекенжайының астында көрінбейді: сыртқы меже серіктестің тасымал мекенжайы. Егер екінші аплинк сол серіктеске басқа тасымалдаушы арқылы жетсе, оның аудармасы мен сүзгілеуі біріншісімен сәйкес келмеуі мүмкін, және бірлестікті көшіру емес, қайта құру қажет болуы мүмкін.

Желілік мекенжайларды аудару күйі WAN ауысуының әдеттегі құрбаны. Таңдалған аплинкіні, күтілетін сыртқы бастау мекенжайын, қолданылып жатқан аударманы және серіктестің оған қайта жету мүмкіндігін жазыңыз, содан кейін тасымалды өзі тасымалдайтын туннельге жібермей қолжетімді ұстаңыз.

Екі қабатты екі жазбамен тексеріңіз

WAN интерфейсіндегі бір жазба және туннель ішіндегі бір жазба мәселені кез келген конфигурация салыстыруынан тезірек шешеді. Оларды шлюзден іске қосыңыз, бекітілген клиент бір сұраныс орындап жатқанда, және екі файлды да сақтаңыз.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Бірінші жазба сыртқы әңгіменің сіз көздеген интерфейстен күтілетін бастау мекенжайымен шығып бара жатқанын көрсетуі керек. Екіншісі ішкі әңгімені бір рет, қайталанбай, клиент мекенжайы бастау және қолданба сервері меже ретінде көрсетуі керек. Маршрут іздеу маршрутизатордың сол бастау-меже жұбы үшін қай кестені қолданатынын растайды, және саясат қатесі әдетте сонда көрінеді. Егер жазбалардың біреуі шықпаса, шешім нүктесі ереже тіркелген жерден басқа жерде, және түзету кеңірек сәйкестікте емес, сонда жасалуы керек.