Ички VPN: сырткы байланышты кайсы туннель алып жүрөт?

Бир убакта иштеген эки VPN кардары ичмеленген туннель жаратпайт; алар эки туннель жана маршруттоо боюнча талаш жаратат. Ичмеленген туннель ички кардардын өз серверине байланышын сырткы туннель өзү алып жүргөндө болот жана бул атайын курулган түзүлүш. Туура болсо, ички сервер сырткы сервердин дарегин көрөт; туура эмес болсо, бир кардар үнсүз экинчисинин айланасынан кайра туташат. Ичмелөөнүн чыныгы же кокустан болгонун үч шарт чечет.

Ичмелөөнү үч шарт чечет

Биринчиси — кайсы акыркы чекитке кайсы жол керек экени. Ички сервердин дарегин атаңыз, сырткы сервердин дарегин атаңыз жана ички серверге сырткы туннель аркылуу гана жетүүгө болорун так билдириңиз. Калганы ушул сүйлөмдөн келип чыгат, кайсы маршруттар кайсы таблицага таандык экени да кошо.

Экинчиси — ар бир катмарда жолду көрө аласызбы. Белгилүү бир багыт кайсы маршрутту колдонорун өзөктөн сурай албасаңыз, чынжырды акыркы чыгуу IP-ден чыгарасыз, ал эми бул ичмелөөнү кокустан айырмалай албаган далил.

Үчүнчүсү — сырткы туннель кулаганда эмне болот. Ички туннель аны менен токтой алат, кадимки тармак аркылуу кайра туташа алат же сырткы жол кайтканга чейин бөгөттөлүп кала алат, жана үчөө тең корголуучу саясаттар. Алар бирдей саясат эмес, ал эми көпчүлүк кардарлардын демейки жүрүм-туруму — экинчиси. Өз акыркы чекитин физикалык тармак аркылуу кайра туташтырган жана ошол эле учурда соо байланыш көрсөткөн кардар — ойлоп табылган чынжырдын үнсүз эки байланышсыз туннелге айланышынын эң кеңири таралган жолу.

Биринчи шарт: кайсы акыркы чекитке кайсы жол керек

ip route get 203.0.113.10 бул суроого түз жооп берет: маршрутту, булак дарегин жана өзөк ошол багыт үчүн дал азыр колдоно турган интерфейсти басып чыгарат.

Ички кардар башталганга чейин ички сервер үчүн, анан дагы бир жолу иштетип, салыштырыңыз. Жооп физикалык интерфейстен сырткы туннелдин интерфейсине өтсө, ичмелөө ошол учурда чыныгы. Өзгөрбөсө, ички кардар түз туташып жатат, панель эмне десе да. Сырткы сервердин дареги үчүн кайталаңыз; ал дарек дагы эле физикалык интерфейс аркылуу чечилиши керек, анткени эки акыркы чекитти рекурсивдүү кармаган маршрут машинаны тармактан толук ажырата турган бузулуу.

Экинчи шарт: ар бир катмардагы жолду карап чыгыңыз

Маршрут тандоо заманбап кардарда негизги таблицадан көп нерсе. Саясат эрежелери белгиленген пакеттерди башка таблицага жөнөтө алат, кардар өз сокетин интерфейске байлай алат, ал эми контейнер же ат мейкиндиги өз таблицаларына ээ. ip rule жана ip route show table all ушул механизмдердин кайсынысы иштеп жатканын табуунун жолу.

Өз сокетине SO_MARK койгон же белгилүү бир түзмөккө байланууга конфигурацияланган кардар сиз реттедим деп ойлогон демейки маршрутту айланып өтөт. Бул мүмкүнчүлүк, ката эмес, жана жалгыз ишенимдүү текшерүү кардар менен бир ат мейкиндигинде иштеген текшерүү экенин билдирет. Кардарлар контейнерлерде иштесе, текшерүүлөрдү хостто эмес, ошол контейнерлерде аткарыңыз.

Үчүнчү шарт: сырткы туннель кулаганда эмне болот

Бузулуу учурундагы жүрүм-турум чечимди талап кылат, демейки маанини эмес. Сырткы туннель жок болгондо ички туннелге эмне болушу керектигин жазып алыңыз, анан кардарларды ошондой кылууга мажбурлаңыз.

Варианттар так. Сырткы жол жок болгондо ички кардарды токтотуу таза чынжыр жана ачык үзгүлтүк берет. Ага түз кайра туташууга уруксат берүү жеткиликтүүлүк берет жана чынжыр курулган касиетти үнсүз алып салат. Сырткы жол кайтканга чейин бөгөттөө — эң катуу жана иштетүүдө эң тажатма вариант, анткени сырткы туннелдин ар бир титирөөсү көрүнүктүү окуяга айланат.

Үчөөнү тең зыянсыз трафик жана атайын сырткы туннель бузулуусу менен сынап көрүңүз, анткени конфигурацияны окуу кайсынысы бар экенин айтпайт. Сырткы туннелди өлтүрүңүз, ички кардардын эмне кылып жатканын байкаңыз жана ал кулап турганда маршрутту кайра текшериңиз. Анан сырткы туннелди кайтарыңыз жана чынжырдын кайра түзүлгөнүн ырастаңыз; ички кардарды ушул арада тандаган түз жолдо калтырбасын.

Чынжыр сизге бербеген нерсе

Кошумча катмарлар акыркы чекиттерди, ачкычтарды жана бузулуу режимдерин кошот; алар эч кандай анонимдүүлүк кепилдигин кошпойт жана сырткы оператордун туннель бар экенин көрүүсүнө тоскоол болбойт. Ичмелөө эмнеден коргой турганы тууралуу ар кандай ырастоо кайсы байкоочудан коргой турганын аташы керек.

Жыйынтык — иштеген байланыш эмес, кыска документ: кайсы акыркы чекит кайсы жолду колдонот, сырткы бузулууда эмне болот жана учурдагы абалды көрсөткөн үч буйрук. strongSwan-дын өткөрүп берүү тууралуу документтештирүүсү туннель трафигинин Linux хостуунда интерфейстердин ортосунда кантип өткөрүлүп берилерин түшүндүргөн пайдалуу булак. Ар бир кардар жаңыртылгандан кийин текшерүүлөрдү кайра иштетиңиз, анткени чынжырыңызды жараткан демейки маанилер келишим эмес. Текшере албаган ичмеленген туннель — статус жарыгы бар ушак.