L2TP, GRE oder IPsec: wéi eng Schicht soll d'Sessioun droen?

Zwee Froen verhedderen sech ëmmer dann, wann L2TP, GRE an IPsec an der selwechter Designnotiz landen: wéi eng Sessioun droen ech, a wéi eng Schicht schützt se? Wann déi éischt falsch ass, bleift alles drënner intern konsequent, während et dat falscht Problem léist — e gerouteten Iwwerlag, gebaut do wou d'Benotzer sech sollten afloggen, oder en Aflogg-Konzentrator deen un d'Plaz vun engem Site-zu-Site-Gateway steet. D'Aarbechtsblaad hei drënner forcéiert dës Ënnerscheedung ier iergendeen sech an en Apparat aloggt. Fëllt et an der Rei aus, an all Zeil gëtt eppes wat Dir eleng testen kënnt.

Fänkt mat der Sessioun un, net mat der Protokollslëscht

En distanzéierte Benotzer mat enger PPP-Sessioun an e gerouteten Iwwerlag tëschent zwee Gateways sinn ënnerschiddlech Netzwierkbezéiungen, och wann béid um Enn an IPsec agewéckelt ginn. Déi éischt terminéiert eng Verbindung pro Benotzer a brauch Adressvergab, Authentifikatioun vun enger Persoun oder engem Apparat, an eng Politik déi nennt wéi eng intern Netzwierker dëse Benotzer erreeche kann. Déi zweet schéckt Paketen tëschent Siten, wou kee sech aloggt.

Schreift ee Saz dee nennt wat vun deenen zwee Dir baut, a liest en duerno nach eng Kéier wéi wann Dir d'Persoun wier déi en bedreiwe muss. Wann de Saz d'Wuert „an“ brauch, baut Dir béid, an d'Aarbechtsblaad brauch zwou Kolonnen amplaz vun enger Kompromësskolonn déi jiddwerer vun deenen zwee just hallef déngt. Wann en e Benotzer nennt awer kee Adresspool, oder e Prefix awer keng Forwarding-Politik, ass de Saz nach ëmmer onkomplett. D'Wiel vun de Wierder kléngt bürokratesch, awer et ass déi bëllegst Plaz fir en Design ze erwëschen deen soss duerch en Ticket beim Support entdeckt gëtt.

Gitt all Schicht genee eng Aufgab

L2TPv2 dréit PPP-Sessiounen tëschent sengen zwee Endpunkten. PPP féiert d'Verbindungsverhandlung an, wann déi verhandelt ass, d'Authentifikatioun vum Benotzer; L2TP setzt keng Kryptographie derbäi, dofir en nackten L2TP-Daemon ëmsetzt kee Stéck vun der IPsec-Sécherheetsbezéiung an huet nëmmen an enger Verbindung Plaz, déi Dir schonn traut.

GRE ass eng Kapselung tëschent zwou Adressen. Et dréit Paketen aus der Netzwierkschicht iwwer en logeschen Iwwerlag an, eleng, bitt et weder Vertrautheet nach eng authentifizéiert Identitéit vum Partner. Dat ass keen Defekt: de Kapp gouf einfach entworf, damat en bëlleg bleift fir op Forwarding-Hardware veraarbecht ze ginn. D'Konsequenz ass datt GRE just d'Fro beäntwert wéi ee dëse Paket tëschent zwou Adressen transportéiert an näischt anescht, an dat ass genee d'Fro déi Dir him sollt stellen.

Bleift IPsec als déi Schicht déi den Trafik auswielt, d'Partner authentifizéiert an dat verschlësselt wat hir gesot gouf ze schützen. Wéi en Trafik et schützt ass eng Konfiguratiounsentscheedung déi zu der Kapselung muss passen déi d'Endpunkten tatsächlech produzéieren, well eng Politik déi fir d'äusser Adress vum GRE geschriwwe gouf sech anescht verhält wéi eng déi fir déi intern Prefixe geschriwwe gouf. GRE-Spezifikatioun hält Payload, GRE-Kapp an äussere Liwwerprotokoll siichtbar getrennt, an Är Politik brauch déiselwecht Trennung.

Schreift de Paketwee virun der Konfiguratioun

Huelt ee Paket a lëscht all Kapp op deen derbäukomm, an der Rei wéi en derbäukomm, an nennt den Apparat deen en derbäusetzt. Fir en Aflogg-Benotzer ass et meeschtens PPP bannen an L2TP bannen an IPsec; fir en Iwwerlag vun engem Site ass et de bannenzege IP-Paket bannen an GRE bannen an IPsec. Wann zwee Apparater dee selwechte Kapp derbäusetzen, hutt Dir eng Schlauf oder en duebelte Tunnel, an keng Politikännerung wäert dat reparéieren.

Déiselwecht Lëscht decidéiert d'MTU, well déi notzbar intern Gréisst d'gemessene Wee-MTU minus d'Käpp ass déi Dir just opgezielt hutt an näischt anescht. Kopéiert keng Zuel aus engem Forumspost: addéiert den äussere IP-, UDP- an ESP-Overhead, duerno GRE oder L2TP, duerno PPP wou et passt, a zitt et vum Wee-MTU of deen Dir tatsächlech gemooss hutt. Symptomer déi nëmme bei groussen Transfere optrieden, oder Sessiounen déi sech opbauen an dann um éischte groussen Äntwert stierwen, ginn meeschtens drop zréck datt dës Additioun duerch Rotschléi gemaach gouf.

Kontrolléiert all Schicht getrennt, vun dobaussen no bannen

Féiert d'Kontrollen an der Rei aus a stoppt bei der éischter déi feelt. All Zeil beäntwert eng aner Fro, dofir e Feeler weist op eng Kolonn vum Aarbechtsblaad amplaz Iech ze soen den Tunnel wier futti.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Op enger Cisco-Këscht ass de Gläichwäert rollenofhängeg, an déi genee Syntax hänkt vu Plattform a Release of: show crypto session fir d'IPsec-Partner, Interface-Zieler fir de GRE- oder Tunnelsinterface, an d'VPDN- oder PPP-Verifikatioun fir d'Aflogg-Roll. En Uerderungsset deen PPP terminéiert beweist näischt iwwer GRE-Ënnerstëtzung, an en funktionéierenden GRE-Interface beweist näischt iwwer de PPP-Service, dofir iwwerpréift d'Roll déi Dir tatsächlech konfiguréiert hutt an net déi aus dem Diagramm.

Schreift all Ausgab nieft der Zeil vum Aarbechtsblaad wou se gehéiert. Notizen déi opgeholl gi wärend de Feeler lieweg ass, si méi wäert wéi eng Topologie déi duerno aus dem Gediechtnes nei gezeechent gëtt.

Ordnet den Ofbau, a kontrolléiert duerno nach eng Kéier

Den Ofbau leeft aus engem Grond ëmgedréint: hëlt den geschützten Trafik aus der IPsec-Politik eraus ier Dir d'Kapselung ewech hëlt fir déi se geschriwwe gouf, soss weist d'Politik weider op en Interface deen et net méi gëtt an de nächste Konfiguratiounsluede feelt iergendwou wat onzusammenhängend ausgesäit. Op Linux heescht dat d'State- an Politik-Andräg läschen ier den Tunnelsinterface; op engem Router, d'Krypto-Kaart oder den Profil-Andrag ewech huelen ier den Tunnel.

Nom Neibau widderhëlt déi véier Akzeptanzobservatiounen eng no der anerer: äusser Erreechbarkeet, eng etabléiert IPsec-Associatioun, eng etabléiert PPP-Sessioun wou den Design eng enthält, an intern Forwarding op eng richteg Destinatiounsadress. Ee gréint Luucht ass keen Beweis fir déi aner dräi, an dës Lück ass de Feeler deen am längsten an der Produktioun iwwerlieft — en Tunnel deen uewen ass, verschlësselt, an näischt forwardet well déi intern Route ni derbäukoum.

Halt d'ausgefëllten Aarbechtsblaad nieft der Apparatskonfiguratioun. All Kolonn déi Dir net fëllen kënnt ass eng Schicht ouni zougewisen Aufgab, an eng Schicht ouni Aufgab ass meeschtens eng Schicht déi net an de Stack gehéiert.