Эки WAN VPN саясаты кайсы пакетке дал келиши керек?

VPNди экинчи аплинк аркылуу багыттоо өтүнүчтөрү жок дегенде эки башка иш-милдетти сүрөттөйт, жана бирөөнү оңдогон саясат экинчисине тийбейт. Биринчи иште эки четиндеги шифрленген транспорт башка WAN дарегине өтөт. Экинчисинде туташкан колдонуучунун чечилген колдонмо агымы башка кийинки кадамга чыгат. Экөө тең мыйзамдуу, экөө тең багыттоону колдонот, жана ар бири чечим кабыл алынган жерде бар пакетке дал келүүнү талап кылат. Төмөнкү текшерүүлөрдү ирети менен аткарыңыз, анткени биринчиси кийинки эрежелер кайсы пакетти атоосу керектигин аныктайт.

Эки сүйлөшүүнү атаңыз

Кеңсе дарбазасына туташкан алыскы кызматкерди элестетиңиз, ал ички колдонмо серверине HTTPS ачат. Зымда эки көз карандысыз сүйлөшүү бар, жана алардын ар бир четинде даректери башка. Сырткы сүйлөшүү эки VPN четинен өтөт: дарбаза дарегинен өнөктөш дарегине чейин, жайылтуу келишкен протокол жана порт менен. Ички сүйлөшүү кардарга берилген даректен 443 портундагы колдонмо серверинин дарегине чейин өтөт.

Колдонмонун багыттоочу порту VPNдин транспорт порту эмес, жана TCP 443 боюнча кандай гана саясат болбосун туннелди кыймылдатпайт. Ошондой эле, өнөктөштүн транспорт дарегин кайра багыттаган эреже ошол колдонуучунун HTTP суроосу чечилгенден кийин кайда бараары жөнүндө эч нерсе айтпайды. Эрежеге тийиштин алдында эки сүйлөшүүнү тең чыныгы даректери менен жазып коюңуз, анткени бул тармактагы башаламандыктын көбү бирөөнү атап, экинчисин конфигурациялоодон келип чыгат.

Саясатыңыз пакетти чындап кайдан көрө аларын табыңыз

Дал келүү пакет сиз сүрөттөгөн формада турган чынжырда жана аттар мейкиндигинде бааланышы керек. LAN кирүүсүнө тиркелген эреже ички пакетти шифрленбеген абалда, ал туннелге багытталганга чейин көрөт. Жергиликтүү жаралган трафикке колдонулган эреже дарбазанын өзү жараткан пакеттерди көрөт, жана ал дарбаза жөн гана өткөрүп жаткан трафикти автоматтык түрдө камтыбайт. Инкапсуляцияланган чыгуу дагы үчүнчү учур, адатта LAN тарабында эмес, туннелди алып жүргөн интерфейсте иштетилет.

Ошондуктан бир эле конфигурация бөлүгү эки платформада башкача жүрөт: тиркеме пункттары башка, жана өндүрүүчүнүн саясат илгичи шифрлөө кадамынын алдында же кийин турушу мүмкүн. Башка өндүрүүчүнүн диаграммасынан тартипти божомолдогондун ордуна, конкреттүү продукт үчүн пакет жолун окуңуз.

Келишкен транспортту ырастаңыз

UDPге инкапсуляцияланган IPsec үчүн RFC 3948 ESPни UDP ичине жайгаштырат жана жалпы портто IKE айырмаланышы үчүн ESP эмес белгини колдонот. Жөнөкөй ESP — IP протоколу, TCP же UDP порту эмес, ошондуктан порт номерине жазылган брандмауэр эрежеси ага такыр дал келбейт. Бул айырма WAN саясатыңызга UDP эрежеси, протокол эрежеси же экөө тең керекпи экенин аныктайт.

Келишилген баалуулуктар эсте калгандардан артык. Түзмөктөн бирикменин учурдагы портторун жана даректерин окуңуз, камсыздык үчүн TCP 4500 же эски өндүрүүчү портун кошуунун ордуна, анткени ал байланышсыз трафикти кармап, чыныгы классификация маселесин жашырат.

Милдеттенүүнүн алдында кайтуу жолун текшериңиз

Сыртка карай ийгилик долбоордун жарымын далилдейт. Алыскы кардарлар пулуна кайткан пакет инкапсуляция аны алмаштыргандан кийин кардардын дареги астында көрүнбөйт: сырткы багыт өнөктөштүн транспорт дареги. Эгер экинчи аплинк ошол өнөктөшкө башка ташуучу аркылуу жетсе, анын котормосу жана чыпкалоосу биринчисине дал келбеши мүмкүн, жана бирикме көчүрүүнүн ордуна кайра курулушу мүмкүн.

Тармак даректерин которуу абалы WAN алмашуунун адаттагы курмандыгы. Тандалган аплинкти, күтүлгөн сырткы булак дарегин, колдонулуп жаткан котормону жана өнөктөштүн ага кайра жетүү мүмкүнчүлүгүн жазыңыз, анан транспортту өзү алып жүргөн туннелге жибербей жеткиликтүү кармаңыз.

Эки жазуу менен эки катмарды текшериңиз

WAN интерфейсиндеги бир жазуу жана туннелдин ичиндеги бир жазуу маселени кандай гана конфигурация салыштыруусунан тезирээк чечет. Аларды дарбазадан иштетиңиз, бекитилген кардар бир суроо аткарып жатканда, жана эки файлды тең сактаңыз.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Биринчи жазуу сырткы сүйлөшүүнүн сиз көздөгөн интерфейстен күтүлгөн булак дареги менен чыгып баратканын көрсөтүшү керек. Экинчиси ички сүйлөшүүнү бир жолу, кайталанбай, кардар дареги булак жана колдонмо сервери багыт катары көрсөтүшү керек. Маршрут издөө маршрутизатор ошол булак-багыт жуп үчүн кайсы таблицаны колдоноорун ырастайт, жана саясат катасы адатта ошол жерде көрүнөт. Эгер жазуулардын бири чыкпаса, чечим пункту эреже тиркелген жерден башка жерде, жана оңдоо кененирээк дал келүүдө эмес, ошол жерде болот.