VPNнин атайын дарегине чындыгында ким жооп берет?

Уюмдун бөлүштүрүүсүндө колдонулбай жаткан дарек угуучу эмес, жана аны брандмауэрге кошуу аны жаратпайт. Ошол дарегде IKE-ни бир нерсе бүтүрүшү керек, ал эми механизм шлюздун даректи ээлешине же жогорку түзмөктүн аны которушуна жараша өзгөрөт. Экөөнү айырмалаган нерсе — пакеттин жолу, жана өзгөртүү сурамын бирөө ачпастан мурун кайсы платформа функциясы керек экенин дал ошол аныктайт. Алгач жолду моделдеп, анан тандаңыз.

Даректин артындагы пакеттин жолу

Шериктеш өзүнө берилген дарекке IKE жөнөтөт, UDP 500 аркылуу же NAT аркылуу өтүү катышканда UDP 4500 аркылуу. Жолдогу ошол даректи кармап турган кайсы түзмөк болбосун, датаграмманы жергиликтүү кабыл алып жооп берет же аны башка жерге жөнөтөт. Бул эки гана мүмкүнчүлүк, жана бул макаладагы калгандардын баары кайсынысы чын экенине негизделет.

Жергиликтүү кабыл алуу дегенибиз ошол түзмөктө ошол дарекке байланган сокет бар экенин билдирет. Жөнөтүү датаграмманын кайра жазылып, башка акыркы чекитке жиберилерин билдирет, сокет ошондо ошол жерде болот. UDP 500-ге уруксат берген брандмауэр эрежеси экөөнүн кайсынысы болуп жатканын сизге айтпайт.

Бир нерсеге тийүүдөн мурун жазууну жазыңыз: шериктештер байланышкан дарек, аны жогорку тармак кантип жеткирет, аны кабыл алган жергиликтүү интерфейс же логикалык акыркы чекит, жана IKE-ге жооп берген процесс. Төрт сап, жана ар бирин текшерсе болот. Алардын бири белгисиз болсо, ошол белгисиздик долбоордук иш, кийин чечиле турган ишке ашыруу деталы эмес. Аларды өзгөртүү сурамы бекитилгенден кийин толтуруу — котормо эрежесинин туура эмес түзмөккө кошулушунун жолу.

Модель A: даректи шлюз ээлейт

Биринчи модель боюнча шлюз даректи өзү кармайт: бар интерфейстен экинчи дарек катары, атайын интерфейстен дарек катары, же платформа туннелдин акыркы чекити катары колдогон loopback катары. Булар конфигурация жолдору ар башка үч функция, жана бирин колдогон платформа калгандарын колдобоосу мүмкүн.

Анын айланасында долбоорлоодон мурун платформа менен чыгарылыш дал ушул жайгашууну колдой турганын ырастаңыз. Маршрутталган блок, интерфейстеги кошумча дарек жана loopback акыркы чекити бири-бирине алмашылбайт, ал эми бир чыгарылыштын документтери кийинкиси ушундай эле жүрөт деп убада бербейт.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Угуп турган сокет — далил. Эгер дарекке эч нерсе байланбаса, маршруттоо таблицасы эмне десе да шлюз бүтүрүүчү эмес, жана пакеттерди кармоо датаграммалардын келип жатканын, бирок аларга жооп берүүчү жок экенин көрсөтөт.

Топологиянын башка жеринде буга чейин бар болгон ички тармакка экинчи интерфейсти койбоңуз жана платформа аны оңдойт деп ойлобоңуз. Кайчылашкан интерфейс ички тармактары булак тандоону бүдөмүк кылат, ал эми көп платформаларда конфигурациялоодон таптакыр баш тартат.

Модель B: аны жогорку түзмөк которот

Экинчи модель боюнча жогорку брандмауэр атайын даректи кармайт жана трафикти башка VPN шлюзуна жөнөтөт. Бул кайтаруу жолу бар багыт котормосу, жана ушундайча документтелген болсо, толук жарактуу долбоор.

Ал эмес нерсе — жогорку түзмөктүн жергиликтүү VPN сокетин алганына далил. Котормо пакеттерди жөнөтөт; ал жогорку кутуну IKE жооп берип жаткан түзмөккө айландырбайт. Жогорку эреже жок кылынса же анын кайтаруу жолу үзүлсө, шлюз соо жана өзүнүн угуучулары бүтүн болсо да VPN токтойт.

Эки даректи тең жазыңыз: шериктештер байланышканды жана шлюз чындыгында көргөндү. Андан кийин транспорт менен кайтаруу жолун жазыңыз, анткени UDP 500 үчүн иштеген, бирок капталган ESP үчүн иштебеген котормо туташат да, кийин трафикти ташып бере албайт, бул кийинчерээк оңдоо үчүн башын оорута турган бузулуу.

Иденттик — сырткы дарек эмес

IPsec туннелдин акыркы чекитин өзү коргогон трафиктен бөлөт, жана архитектура бул чечимдерди ар башка жерде кармайт. Шериктештер байланышкан даректи өзгөртүү кайсы ички префикстерге уруксат бар, кайсы маршруттар орнотулат же сессия кайсы ресурстарга жете алат — муну автоматтык түрдө өзгөртпөйт.

Аутентификацияланган иденттик дагы өзүнчө. IKEv2 сырткы пакет дарегине дал келүүсү милдеттүү эмес иденттик жүгүн жана аутентификация алмашуусун алып жүрөт, ошондуктан которулган долбоор дагы деле туура аутентификациялай алат.

Бул көз карандысыздык пайдалуу жана ошол эле учурда тузак. Бир кадимки угуучуга чечилген эки DNS аталышы ар башка VPN бэкенддерин тандабайт, ал эми бир иденттикти атаган сертификат башкасын күткөн шериктешти канааттандырбайт. Дарек эле муну чечет деп ойлоодон мурун шериктеш эмнени текшерерин ырастаңыз.

Бир туташууну байкоо менен долбоорду кабыл алыңыз

Жаңы уруксат берилген туташуу чындыгында кайда жеткирилерин, кайсы иденттик жооп берерин жана андан кийин кайсы жеке агымга уруксат экенин текшериңиз. Үч байкоо, үч башка катмар, жана даректин ийгиликтүү ачык издөөсү алардын бирин да текшербейт.

Терс учурду да сактаңыз: кабыл алынбашы керек болгон шериктеш же жеткиликсиз болушу керек ички префикс, өзгөртүүдөн кийин текшерилсин. Башында жазган жазуу долбоорду эстен кайра курууга жол бербей ушул сыноону мүмкүн кылат.

Мунун баарынын мааниси — тармактын ээсине ар бир брандмауэр кошумча дарек менен эмне кыла алары тууралуу жалпы ырастоого таянуунун ордуна колдоого алынган бөлүштүрүү ыкмасын тандоого мүмкүндүк берүү. Ошол ырастоо — ушул долбоорлор жаңылышкан жер, анткени ал ар бир платформада ишенимдүү угулат жана жалпысынан эч биринде туура эмес. Төрт саптуу жазуу муну сиздин платформаңыз үчүн он мүнөттө чечет.