VPN-нің арнайы мекенжайына шын мәнінде кім жауап береді?

Ұйымның бөліп беруінде пайдаланылмай жатқан мекенжай тыңдаушы емес, және оны брандмауэрге қосу оны жасамайды. Сол мекенжайда IKE-ні бірдеңе аяқтауы керек, ал тетік шлюздің мекенжайды иемденуіне немесе жоғарғы құрылғының оны аударуына қарай өзгереді. Екеуін ажырататын нәрсе — пакет жолы, және өзгеріс сұранысын біреу ашпас бұрын қай платформа мүмкіндігі қажет екенін де сол анықтайды. Алдымен жолды модельдеп, содан кейін таңдаңыз.

Мекенжайдың артындағы пакет жолы

Серіктес өзіне берілген мекенжайға IKE жібереді, UDP 500 арқылы немесе NAT-тан өту қатысқанда UDP 4500 арқылы. Жолда сол мекенжайды ұстап тұрған қандай құрылғы болса да, ол дерекграмманы жергілікті түрде қабылдап жауап береді немесе оны басқа жерге жөнелтеді. Бұл тек екі мүмкіндік, және осы мақаладағы қалғанның бәрі қайсысы рас екеніне сүйенеді.

Жергілікті қабылдау дегеніміз сол құрылғыда сол мекенжайға байланған сокет бар. Жөнелту дегеніміз дерекграмма қайта жазылып, басқа шеткі нүктеге жіберіледі, ол кезде сокет сол жерде болады. UDP 500-ге рұқсат беретін брандмауэр ережесі екеуінің қайсысы болып жатқаны туралы ештеңе айтпайды.

Бірдеңеге тиіспес бұрын жазбаны жазыңыз: серіктестер хабарласатын мекенжай, оны жоғарғы желі қалай жеткізетіні, оны қабылдайтын жергілікті интерфейс немесе логикалық шеткі нүкте және IKE-ге жауап беретін процесс. Төрт жол, және әрқайсысын тексеруге болады. Олардың бірі белгісіз болса, сол белгісіздік — дизайн жұмысы, кейін шешілетін іске асыру бөлшегі емес. Оларды өзгеріс сұранысы бекітілгеннен кейін толтыру — аударма ережесінің дұрыс емес құрылғыға қосылу тәсілі.

Модель A: мекенжайды шлюз иемденеді

Бірінші модельде шлюз мекенжайды өзі ұстайды: не бар интерфейсте екінші мекенжай ретінде, не арнайы интерфейсте мекенжай ретінде, не платформа туннельдің шеткі нүктесі ретінде қолдайтын loopback ретінде. Бұлар — әртүрлі конфигурация жолдары бар үш түрлі мүмкіндік, және біреуін қолдайтын платформа қалғандарын қолдамауы мүмкін.

Оны негізге алып жобаламас бұрын платформа мен шығарылым дәл осы орналасуды қолдайтынын растаңыз. Маршрутталған блок, интерфейстегі қосымша мекенжай және loopback шеткі нүктесі өзара алмастырылмайды, ал бір шығарылымның құжаттамасы келесісінің дәл солай әрекет ететініне уәде бермейді.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Тыңдап тұрған сокет — дәлел. Егер мекенжайға ештеңе байланбаған болса, маршруттау кестесі не десе де, шлюз аяқтаушы емес, және пакеттерді ұстау дерекграммалардың келіп жатқанын, бірақ оларға жауап беретін ешкім жоқтығын көрсетеді.

Топологияның басқа жерінде бұрыннан бар ішкі желіге екінші интерфейсті қоймаңыз және платформа оны реттеймін деп ойламаңыз. Қабаттасатын интерфейс ішкі желілері көздің таңдауын анықсыз етеді, ал көп платформада конфигурациялаудан мүлдем бас тартады.

Модель B: оны жоғарғы құрылғы аударады

Екінші модельде жоғарғы брандмауэр арнайы мекенжайды ұстайды және трафикті басқа VPN шлюзіне жөнелтеді. Бұл қайтару жолы бар межелік аудармасы, және солай құжатталған жағдайда толығымен жарамды дизайн.

Оның болмайтыны — жоғарғы құрылғының жергілікті VPN сокетін алғанына дәлел. Аударма пакеттерді жөнелтеді; ол жоғарғы қорапты IKE жауап берушісіне айналдырмайды. Жоғарғы ереже жойылса немесе оның қайтару жолы үзілсе, шлюз сау және оның өз тыңдаушылары бүтін болса да VPN тоқтайды.

Екі мекенжайды да жазыңыз: серіктестер хабарласатынын және шлюз шын мәнінде көретінін. Содан кейін тасымалды және қайтару жолын жазыңыз, өйткені UDP 500 үшін жұмыс істейтін, бірақ қапталған ESP үшін жұмыс істемейтін аударма қосылады да, содан кейін трафикті таси алмайды, бұл кейін жөндеу үшін шатастыратын ақау.

Сәйкестік — сыртқы мекенжай емес

IPsec туннельдің шеткі нүктесін ол қорғайтын трафиктен бөледі, және сәулет бұл шешімдерді әртүрлі жерде ұстайды. Серіктестер хабарласатын мекенжайды өзгерту қандай ішкі префикстерге рұқсат екенін, қандай маршруттар орнатылатынын немесе сессия қандай ресурстарға жете алатынын автоматты түрде өзгертпейді.

Аутентификацияланған сәйкестік тағы бөлек. IKEv2 сыртқы пакет мекенжайына сәйкес келуі міндетті емес сәйкестік жүктемесін және аутентификация алмасуын тасиды, және дәл сондықтан аударылған дизайн әлі де дұрыс аутентификациялай алады.

Бұл тәуелсіздік пайдалы әрі тұзақ та. Бір қарапайым тыңдаушыға шешілетін екі DNS атауы әртүрлі VPN бэкендтерін таңдамайды, ал бір сәйкестікті атайтын сертификат басқасын күтетін серіктесті қанағаттандырмайды. Тек мекенжай шешеді деп ойламас бұрын серіктес нені тексеретінін растаңыз.

Дизайнды бір қосылымды бақылап қабылдаңыз

Жаңа рұқсат етілген қосылым шын мәнінде қайда жеткізілетінін, қай сәйкестіктің жауап беретінін және содан кейін қай жеке ағынға рұқсат екенін тексеріңіз. Үш байқау, үш түрлі қабат, ал мекенжайдың сәтті жария іздеуі олардың бірін де тексермейді.

Теріс жағдайды да сақтаңыз: қабылданбауы тиіс серіктес немесе қолжетімсіз болуы тиіс ішкі префикс өзгерістен кейін тексерілсін. Басында жазған жазба дизайнды жадыдан қайта құрмай-ақ сол сынақты мүмкін етеді.

Мұның бәрінің мәні — желі иесіне әр брандмауэрдің қосымша мекенжаймен не істей алатыны туралы жалпы тұжырымға сүйенудің орнына қолдау көрсетілген бөлу әдісін таңдауға мүмкіндік беру. Дәл сол тұжырым — бұл дизайндар қателесетін жер, өйткені ол әр платформада сенімді естіледі және жалпы алғанда ешқайсысында дұрыс емес. Төрт жолдық жазба мұны сіздің платформаңыз үшін он минутта шешеді.