ಎರಡು WAN ಇರುವ VPN ನೀತಿ ಯಾವ ಪ್ಯಾಕೆಟ್‌ಗೆ ಹೊಂದಬೇಕು?

VPN ಅನ್ನು ಎರಡನೇ ಅಪ್‌ಲಿಂಕ್ ಮೂಲಕ ರೂಟ್ ಮಾಡುವ ಬೇಡಿಕೆಗಳು ಕನಿಷ್ಠ ಎರಡು ವಿಭಿನ್ನ ಕೆಲಸಗಳನ್ನು ವಿವರಿಸುತ್ತವೆ, ಮತ್ತು ಒಂದನ್ನು ಸರಿಪಡಿಸುವ ನೀತಿ ಇನ್ನೊಂದನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ. ಮೊದಲ ಕೆಲಸದಲ್ಲಿ ಎರಡು ತುದಿಗಳ ನಡುವಿನ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಆದ ಸಾಗಣೆ ಬೇರೆ WAN ವಿಳಾಸಕ್ಕೆ ಹೋಗುತ್ತದೆ. ಎರಡನೆಯದರಲ್ಲಿ ಸಂಪರ್ಕಗೊಂಡ ಬಳಕೆದಾರರ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಅಪ್ಲಿಕೇಶನ್ ಹರಿವು ಬೇರೆ ಮುಂದಿನ ಹಾಪ್ ಕಡೆಗೆ ಹೊರಡುತ್ತದೆ. ಎರಡೂ ಕಾನೂನುಬದ್ಧ, ಎರಡೂ ರೂಟಿಂಗ್ ಬಳಸುತ್ತವೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ನಿರ್ಧಾರ ತೆಗೆದುಕೊಳ್ಳುವ ಸ್ಥಳದಲ್ಲಿ ಇರುವ ಪ್ಯಾಕೆಟ್ ಮೇಲೆ ಹೊಂದಿಕೆ ಬೇಕು. ಕೆಳಗಿನ ಪರಿಶೀಲನೆಗಳನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿ, ಏಕೆಂದರೆ ಮೊದಲನೆಯದು ಮುಂದಿನ ನಿಯಮಗಳು ಯಾವ ಪ್ಯಾಕೆಟ್ ಹೆಸರಿಸಬೇಕು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.

ಎರಡು ಸಂಭಾಷಣೆಗಳಿಗೆ ಹೆಸರಿಸಿ

ಕಚೇರಿ ಗೇಟ್‌ವೇಗೆ ಸಂಪರ್ಕಗೊಂಡಿರುವ ದೂರದ ಉದ್ಯೋಗಿಯನ್ನು ಊಹಿಸಿ, ಅವರು ಒಳಗಿನ ಅಪ್ಲಿಕೇಶನ್ ಸರ್ವರ್‌ಗೆ HTTPS ತೆರೆಯುತ್ತಾರೆ. ತಂತಿಯ ಮೇಲೆ ಎರಡು ಸ್ವತಂತ್ರ ಸಂಭಾಷಣೆಗಳಿವೆ, ಮತ್ತು ಪ್ರತಿ ತುದಿಯಲ್ಲಿ ಅವುಗಳ ವಿಳಾಸಗಳು ಬೇರೆ ಬೇರೆ. ಹೊರಗಿನ ಸಂಭಾಷಣೆ ಎರಡು VPN ತುದಿಗಳ ನಡುವೆ ನಡೆಯುತ್ತದೆ: ಗೇಟ್‌ವೇ ವಿಳಾಸದಿಂದ ಪೀರ್ ವಿಳಾಸಕ್ಕೆ, ನಿಯೋಜನೆ ಒಪ್ಪಿಕೊಂಡ ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ಪೋರ್ಟ್‌ನಲ್ಲಿ. ಒಳಗಿನ ಸಂಭಾಷಣೆ ಕ್ಲೈಂಟ್‌ಗೆ ನೀಡಿದ ವಿಳಾಸದಿಂದ 443 ಪೋರ್ಟ್‌ನಲ್ಲಿರುವ ಅಪ್ಲಿಕೇಶನ್ ಸರ್ವರ್ ವಿಳಾಸಕ್ಕೆ ನಡೆಯುತ್ತದೆ.

ಅಪ್ಲಿಕೇಶನ್‌ನ ಗಮ್ಯ ಪೋರ್ಟ್ VPN ನ ಸಾಗಣೆ ಪೋರ್ಟ್ ಅಲ್ಲ, ಮತ್ತು TCP 443 ಮೇಲಿನ ಯಾವುದೇ ನೀತಿ ಸುರಂಗವನ್ನು ಸರಿಸುವುದಿಲ್ಲ. ಹಾಗೆಯೇ, ಪೀರ್‌ನ ಸಾಗಣೆ ವಿಳಾಸವನ್ನು ಮರುನಿರ್ದೇಶಿಸುವ ನಿಯಮ ಆ ಬಳಕೆದಾರರ HTTP ವಿನಂತಿ ಡೀಕ್ರಿಪ್ಷನ್ ನಂತರ ಎಲ್ಲಿ ಹೋಗುತ್ತದೆ ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ನಿಯಮವನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಎರಡೂ ಸಂಭಾಷಣೆಗಳನ್ನು ಅವುಗಳ ನಿಜವಾದ ವಿಳಾಸಗಳೊಂದಿಗೆ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಈ ಕ್ಷೇತ್ರದ ಹೆಚ್ಚಿನ ಗೊಂದಲ ಒಂದನ್ನು ಹೆಸರಿಸಿ ಇನ್ನೊಂದನ್ನು ಸಂರಚಿಸುವುದರಿಂದ ಬರುತ್ತದೆ.

ನಿಮ್ಮ ನೀತಿ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ನಿಜವಾಗಿ ಎಲ್ಲಿ ನೋಡಬಲ್ಲದು ಎಂದು ಕಂಡುಹಿಡಿಯಿರಿ

ಹೊಂದಿಕೆಯನ್ನು ಪ್ಯಾಕೆಟ್ ಇನ್ನೂ ನೀವು ವಿವರಿಸಿದ ರೂಪದಲ್ಲಿರುವ ಸರಣಿ ಮತ್ತು ಹೆಸರಿನ ಸ್ಥಳದಲ್ಲಿ ಮೌಲ್ಯಮಾಪನ ಮಾಡಬೇಕು. LAN ಪ್ರವೇಶಕ್ಕೆ ಜೋಡಿಸಿದ ನಿಯಮ ಒಳಗಿನ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಎನ್‌ಕ್ರಿಪ್ಷನ್ ಇಲ್ಲದೆ, ಅದು ಸುರಂಗದ ಕಡೆಗೆ ರೂಟ್ ಆಗುವ ಮೊದಲು ನೋಡುತ್ತದೆ. ಸ್ಥಳೀಯವಾಗಿ ಉತ್ಪಾದನೆಯಾದ ಸಂಚಾರಕ್ಕೆ ಅನ್ವಯಿಸಿದ ನಿಯಮ ಗೇಟ್‌ವೇ ಸ್ವತಃ ರೂಪಿಸುವ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ನೋಡುತ್ತದೆ, ಮತ್ತು ಅದು ಗೇಟ್‌ವೇ ಕೇವಲ ಮುಂದೆ ಕಳುಹಿಸುವ ಸಂಚಾರವನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಒಳಗೊಳ್ಳುವುದಿಲ್ಲ. ಎನ್‌ಕ್ಯಾಪ್ಸುಲೇಟೆಡ್ ಔಟ್‌ಪುಟ್ ಮತ್ತೆ ಮೂರನೇ ಪ್ರಕರಣ, ಸಾಮಾನ್ಯವಾಗಿ LAN ಬದಿಯಲ್ಲಿ ಅಲ್ಲ ಬದಲಿಗೆ ಸುರಂಗವನ್ನು ಹೊತ್ತೊಯ್ಯುವ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ನಿಭಾಯಿಸಲಾಗುತ್ತದೆ.

ಅದಕ್ಕಾಗಿಯೇ ಒಂದೇ ಸಂರಚನಾ ತುಣುಕು ಎರಡು ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ಗಳಲ್ಲಿ ವಿಭಿನ್ನವಾಗಿ ವರ್ತಿಸುತ್ತದೆ: ಜೋಡಣಾ ಸ್ಥಳಗಳು ಬೇರೆ, ಮತ್ತು ಮಾರಾಟಗಾರರ ನೀತಿ ಕೊಕ್ಕೆ ಎನ್‌ಕ್ರಿಪ್ಷನ್ ಹಂತದ ಮೊದಲು ಅಥವಾ ನಂತರ ಇರಬಹುದು. ಇನ್ನೊಬ್ಬ ಮಾರಾಟಗಾರರ ರೇಖಾಚಿತ್ರದಿಂದ ಕ್ರಮವನ್ನು ಊಹಿಸುವ ಬದಲು ನಿರ್ದಿಷ್ಟ ಉತ್ಪನ್ನಕ್ಕೆ ಪ್ಯಾಕೆಟ್ ಮಾರ್ಗವನ್ನು ಓದಿ.

ನೀವು ಒಪ್ಪಿಕೊಂಡ ಸಾಗಣೆಯನ್ನು ದೃಢೀಕರಿಸಿ

UDP ನಲ್ಲಿ ಎನ್‌ಕ್ಯಾಪ್ಸುಲೇಟ್ ಆದ IPsec ಗೆ, RFC 3948 ESP ಅನ್ನು UDP ಒಳಗೆ ಇರಿಸುತ್ತದೆ ಮತ್ತು ಹಂಚಿಕೆಯ ಪೋರ್ಟ್‌ನಲ್ಲಿ IKE ಪ್ರತ್ಯೇಕವಾಗಿ ಗುರುತಿಸಲು ಬರುವಂತೆ ESP ಅಲ್ಲದ ಗುರುತನ್ನು ಬಳಸುತ್ತದೆ. ಸಾಮಾನ್ಯ ESP ಒಂದು IP ಪ್ರೋಟೋಕಾಲ್, TCP ಅಥವಾ UDP ಪೋರ್ಟ್ ಅಲ್ಲ, ಆದ್ದರಿಂದ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಗೆ ಬರೆದ ಫೈರ್‌ವಾಲ್ ನಿಯಮ ಅದಕ್ಕೆ ಸಂಪೂರ್ಣವಾಗಿ ಹೊಂದುವುದಿಲ್ಲ. ಈ ವ್ಯತ್ಯಾಸ ನಿಮ್ಮ WAN ನೀತಿಗೆ UDP ನಿಯಮ, ಪ್ರೋಟೋಕಾಲ್ ನಿಯಮ ಅಥವಾ ಎರಡೂ ಬೇಕೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ.

ಒಪ್ಪಿಕೊಂಡ ಮೌಲ್ಯಗಳು ನೆನಪಿನಲ್ಲಿಟ್ಟ ಮೌಲ್ಯಗಳನ್ನು ಮೀರುತ್ತವೆ. ಸಾಧನದಿಂದ ಸಂಘದ ಪ್ರಸ್ತುತ ಪೋರ್ಟ್‌ಗಳು ಮತ್ತು ವಿಳಾಸಗಳನ್ನು ಓದಿ, ಎಚ್ಚರಿಕೆಯಾಗಿ TCP 4500 ಅಥವಾ ಹಳೆಯ ಮಾರಾಟಗಾರರ ಪೋರ್ಟ್ ಸೇರಿಸುವ ಬದಲು, ಅದು ಸಂಬಂಧವಿಲ್ಲದ ಸಂಚಾರವನ್ನು ಹಿಡಿದು ನಿಜವಾದ ವರ್ಗೀಕರಣ ಸಮಸ್ಯೆಯನ್ನು ಮುಚ್ಚುತ್ತದೆ.

ಬದ್ಧರಾಗುವ ಮೊದಲು ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ಪರಿಶೀಲಿಸಿ

ಹೊರಮುಖ ಯಶಸ್ಸು ವಿನ್ಯಾಸದ ಅರ್ಧವನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ದೂರದ ಕ್ಲೈಂಟ್ ಪೂಲ್ ಕಡೆಗೆ ಹಿಂತಿರುಗುವ ಪ್ಯಾಕೆಟ್ ಎನ್‌ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಅದನ್ನು ಬದಲಿಸಿದ ನಂತರ ಕ್ಲೈಂಟ್ ವಿಳಾಸದ ಅಡಿಯಲ್ಲಿ ಕಾಣುವುದಿಲ್ಲ: ಹೊರಗಿನ ಗಮ್ಯ ಪೀರ್‌ನ ಸಾಗಣೆ ವಿಳಾಸ. ಎರಡನೇ ಅಪ್‌ಲಿಂಕ್ ಆ ಪೀರ್ ಅನ್ನು ಬೇರೆ ವಾಹಕದ ಮೂಲಕ ತಲುಪಿದರೆ, ಅದರ ಅನುವಾದ ಮತ್ತು ಫಿಲ್ಟರಿಂಗ್ ಮೊದಲನೆಯದಕ್ಕೆ ಒಪ್ಪದಿರಬಹುದು, ಮತ್ತು ಸಂಘವನ್ನು ಸ್ಥಳಾಂತರಿಸುವ ಬದಲು ಮತ್ತೆ ನಿರ್ಮಿಸಬೇಕಾಗಬಹುದು.

ನೆಟ್‌ವರ್ಕ್ ವಿಳಾಸ ಅನುವಾದದ ಸ್ಥಿತಿ WAN ಬದಲಾವಣೆಯ ಸಾಮಾನ್ಯ ಬಲಿ. ಆಯ್ಕೆಯಾದ ಅಪ್‌ಲಿಂಕ್, ನಿರೀಕ್ಷಿತ ಹೊರಗಿನ ಮೂಲ ವಿಳಾಸ, ಬಳಕೆಯಲ್ಲಿರುವ ಅನುವಾದ ಮತ್ತು ಪೀರ್‌ನ ಮರಳಿ ತಲುಪುವಿಕೆಯನ್ನು ದಾಖಲಿಸಿ, ನಂತರ ಸಾಗಣೆಯನ್ನು ಅದು ಹೊತ್ತೊಯ್ಯುವ ಸುರಂಗಕ್ಕೆ ಕಳುಹಿಸದೆ ತಲುಪಬಲ್ಲಂತೆ ಇರಿಸಿ.

ಎರಡು ಕ್ಯಾಪ್ಚರ್‌ಗಳಿಂದ ಎರಡೂ ಪದರಗಳನ್ನು ಪರಿಶೀಲಿಸಿ

WAN ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಒಂದು ಕ್ಯಾಪ್ಚರ್ ಮತ್ತು ಸುರಂಗದ ಒಳಗೆ ಒಂದು ಕ್ಯಾಪ್ಚರ್ ಯಾವುದೇ ಸಂರಚನಾ ಹೋಲಿಕೆಗಿಂತ ವೇಗವಾಗಿ ಪ್ರಶ್ನೆಯನ್ನು ಬಗೆಹರಿಸುತ್ತವೆ. ಅನುಮೋದಿತ ಕ್ಲೈಂಟ್ ಒಂದೇ ವಿನಂತಿ ಮಾಡುವಾಗ ಅವುಗಳನ್ನು ಗೇಟ್‌ವೇಯಿಂದ ಚಲಾಯಿಸಿ, ಮತ್ತು ಎರಡೂ ಫೈಲ್‌ಗಳನ್ನು ಇರಿಸಿ.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

ಮೊದಲ ಕ್ಯಾಪ್ಚರ್ ಹೊರಗಿನ ಸಂಭಾಷಣೆ ನೀವು ಉದ್ದೇಶಿಸಿದ ಇಂಟರ್‌ಫೇಸ್ ಬಿಟ್ಟು ಹೋಗುವುದನ್ನು, ನಿರೀಕ್ಷಿತ ಮೂಲ ವಿಳಾಸದೊಂದಿಗೆ ತೋರಿಸಬೇಕು. ಎರಡನೆಯದು ಒಳಗಿನ ಸಂಭಾಷಣೆ ಒಮ್ಮೆ, ನಕಲು ಇಲ್ಲದೆ, ಕ್ಲೈಂಟ್ ವಿಳಾಸ ಮೂಲ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಸರ್ವರ್ ಗಮ್ಯವಾಗಿ ತೋರಿಸಬೇಕು. ಮಾರ್ಗ ಹುಡುಕಾಟ ಆ ಮೂಲ-ಗಮ್ಯ ಜೋಡಿಗೆ ರೂಟರ್ ಯಾವ ಕೋಷ್ಟಕ ಬಳಸುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ನೀತಿಯ ತಪ್ಪು ಸಾಮಾನ್ಯವಾಗಿ ಅಲ್ಲಿಯೇ ಕಾಣಿಸುತ್ತದೆ. ಯಾವುದಾದರೂ ಕ್ಯಾಪ್ಚರ್ ಕಾಣದಿದ್ದರೆ, ನಿರ್ಧಾರ ಬಿಂದು ನಿಯಮ ಜೋಡಿಸಿದ ಸ್ಥಳದಲ್ಲಿಯೇ ಅಲ್ಲ, ಮತ್ತು ಸರಿಪಡಿಸುವಿಕೆ ವಿಶಾಲ ಹೊಂದಿಕೆಯಲ್ಲಿ ಅಲ್ಲ, ಅಲ್ಲಿಯೇ ಸೇರುತ್ತದೆ.