Сайттан сайтка VPN үчүн эмнени жазуу керек: селекторлор жана камтуу

Туннель ишке киргизилгенден алты ай өткөндөн кийин жаңы субнет саясатка туура келбей калат, ал эми жалпы сактагычтагы жалгыз документ кеңсе VPN деп жазат. Бул — селектор жазуусу алдын алган бузулуу, жана ал так: дарегилер топтому өзгөрдү, ал эми кагаздар өзгөргөн жок. Жазууну туура жазуу дегенибиз бир нече дарегилер топтомунун кайсынысын сүрөттөп жатканыңызды билүү, жана өзүңүз конфигурациялаганды эмес, каршы тарап иш жүзүндө колдонгонду жазуу.

Конфигурацияланган — келишилген эмес

Саясатка негизделген IPsec туннелинде ар бир тарап трафик селекторлорун сунуштайт: балама ассоциация үчүн булак жана багыт диапазондору. Жооп берүүчү тарап бул сунушту тарылтууга укуктуу , ошондуктан орнотулган ассоциация конфигурация тизмесинен азыраак камтышы мүмкүн. Конфигурацияны көчүргөн жазуу ошондуктан ниетти сүрөттөйт, учурдагы коргоо камтуусун эмес. Экөө үнсүз ажырайт, жана туннелдин статус баракчасында эч нерсе муну көрсөтпөйт.

Эки мамычаны тең байкаган күнүңүз менен сактаңыз. Конфигурацияланган селектор — ниет кылганыңыз; келишилгени — ядро азыр колдонуп жатканы. Алар айырмаланганда, бул айырма күтүлбөгөн бузулууну маршруттоо катасына караганда алда канча көп түшүндүрөт.

Бир ассоциация ар бир конфигурацияланган жупту да билдирбейт. Бир нече селектор айкалышы бар туннель бир нече балама ассоциация менен бүтүшү мүмкүн, ал эми алардын бирин гана тизмелеген жазуу — толук эмес тизме. Аларды жалпылоонун ордуна тизмелеңиз.

Маршрутка негизделген туннелдер башкача тандашат

Маршрутка негизделген интерфейсте туннелге эмненин кирерин маршруттоо таблицасы чечет, ал эми селекторлор атайын кенен болушу мүмкүн. Бул — шалаакылык эмес, мыйзамдуу долбоор, жана жазуу аны ошондой сүрөттөшү керек. Маршрутту, ал багыттаган интерфейсти жана кайсы кызматтарга жетүүгө болоорун чектеген брандмауэр саясатын жазыңыз. Коргоо камтуусу атайын кенен, ал эми тарылтууну кызмат камтуусу жасайт.

Саясатка негизделген үлгүнү маршрутка негизделген туннелге көчүрүү жайгаштыруу колдонбогон механизмди сүрөттөгөн документ жаратат. Кийинки инженер анда эч качан болбошу керек болгон селекторлорду издейт, жана туннель жөн гана начар документтелгенде аны туура эмес конфигурацияланган деп чечет.

Котормо ошол эле таблицага кирет

NAT каршы тарапка башка диапазонду көрсөткөндө, баштапкы жана которулган префикстерди чогуу жазыңыз. Селекторлор жана кирүү эрежелери аларды кайсы этапта дал келтирерин белгилеңиз, себеби тартип алыс тарап сиз жазган даректи көрөбү-көрбөйбү аныктайт. Эки диапазондун бири гана бар таблица таблица жоктон жаман, себеби ал толук болуп көрүнөт.

Бул — NAT өзгөрүүсүнөн кийин иштеп жаткан туннелди буза турган деталь: селектор дагы эле баштапкы префикске дал келет, каршы тарап эми которулганды алат, жана анын кайтуу маршруту эми жок дарекке багыттайт. Экөө келишүүнү токтоткон учурда эч нерсе катаны жазбайт.

Жеке DNS ошол эле жерге кирет. Тиешелүү сайттан пайдаланууга болбой турган дарекке чечилген ат — колдоо билети тиркелген документ катасы, жана күнөө туннелге жүктөлөт.

Кызмат талабын тиркеңиз

Корголгон диапазон — уруксаттар тизмеси эмес. Кайсы кызматтар кайсы булактан жеткиликтүү болушу керектигин жана алардын артындагы колдонмо кимге таандык экенин жазыңыз. Бул эки талаа ар башка суроолорго жооп берет, жана аларды аралаштыруу — коопсуздук текшерүүсүнүн аягында кирүү эмес, маршруттоо тууралуу талашуусунун жолу.

Андан кийин эрежени кармаган тармак администраторун атаңыз. Ээси жок селектор тизмеси үнсүз эскирет, жана түнү саат экиде туннель үзүлгөндө эскини катадан ажыратуу мүмкүн эмес. Ээси — өзгөрүү атайын болгонун ырастай алган адам да.

Жазууну тест планына айландырыңыз

Ар бир керектүү жол үчүн өкүлдүк булак жана багыт хостун тандап, күтүлгөн маршрутту, кызматты жана жооп дарбазасын белгилеңиз. Бул документти сүрөттөмөнүн ордуна тест планына айландырат. Тирүү ассоциацияны төмөнкү команда менен окуп, жазып алган келишилген сап менен салыштырыңыз.

swanctl --list-sas

Беш саптуу скелет жазууну ак ниеттүү кармоого адатта жетиштүү. Төмөнкү версия өзгөрүү билетине кыркылбай батат:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Дарбазага гана ping жасоо — кабыл алуу тести эмес. Ал транзиттик жолду эч качан машыктырбайт, ошондуктан ар бир өткөрүлгөн агым ийгиликсиз болгондо да өтүшү мүмкүн. Бир тараптын хостунан экинчи тараптын кызматына чейин текшерип, жооп туннель аркылуу келерин ырастаңыз. Эгер тек ping өтсө, жазуу дал ошону алдын алуу үчүн жазылган өткөрүү көйгөйүн жаңы эле тапты. strongSwan өткөрүү документтемеси Linux өнөктөшүндө селекторлор, маршруттар жана өткөрүү кантип өз ара аракеттенерин түшүндүрөт.