Verschachtelte VPN: wéien Tunnel dréit déi bausse Verbindung?

Zwéi VPN-Clienten, déi gläichzäiteg lafen, produzéieren net en verschachtelte Tunnel; si produzéieren zwéi Tunnelen an en Sträit iwwer d'Routing. En verschachtelte Tunnel gëtt et, wann d'Verbindung vum bannenzege Client zu sengem eegene Server selwer vum baussenzege Tunnel gedroen gëtt, an dat ass eng Opstellung, déi een absichtlech baut. Stëmmt et, gesäit de bannenzege Server d'Adress vum baussenzege Server; stëmmt et net, verbënnt ee Client sech stël an der anerer ronderëm. Dräi Bedingunge bestëmmen, ob d'Verschachtelung wierklech oder zoufälleg ass.

Dräi Bedingunge bestëmmen d'Verschachtelung

Déi éischt ass, wéien Endpunkt wéie Wee brauch. Nenn d'Adress vum bannenzege Server, nenn d'Adress vum baussenzege Server, a stell ausdrécklech fest, datt de bannenzege Server nëmmen iwwer de baussenzege Tunnel erreechbar ass. Alles aneres folgt aus dësem Saz, och wéi eng Routeen a wéi eng Tabell gehéieren.

Déi zweet ass, ob du de Wee op all Schicht gesäi kanns. Wann s de de Kernel net froe kanns, wéi eng Route e bestëmmten Zil just elo géif benotzen, inferés du d'Kette vun enger leschter Austrëtts-IP, an dat ass genee de Beweis, dee Verschachtelung net vun Zoufall ënnerscheede kann.

Déi drëtt ass, wat geschitt, wann de baussenzege Tunnel fällt. De bannenzege Tunnel ka mat him stoppen, sech iwwer dat gewéinlecht Netzwierk nei verbannen oder blockéiert bleiwen, bis de baussenzege Wee zréckkënnt, an all dräi sinn honorabel Politiken. Si sinn net déiselwecht Politik, an d'Standardverhalen vun de meeschte Clienten ass déi zweet. En Client, deen säin Endpunkt iwwer dat physescht Netzwierk nei verbënnt, während hien eng gesond Verbindung weist, ass dee meeschte Wee, wéi eng beabsichtigte Kette stël zu zwéi onofhängegen Tunnelen gëtt.

Bedingung eent: wéien Endpunkt wéie Wee brauch

ip route get 203.0.113.10 beäntwert déi Fro direkt: et dréckt d'Route, d'Quelladress an d'Schnittstell aus, déi de Kernel just elo fir dat Zil géif benotzen.

Laf et fir de bannenzege Server, ier de bannenzege Client start, an duerno nach eng Kéier, a vergläich. Ännert sech d'Äntwert vun der physescher Schnittstell op d'Schnittstell vum baussenzege Tunnel, ass d'Verschachtelung an deem Moment wierklech. Ännert se sech net, verbënnt de bannenzege Client sech direkt, egal wat den Dashboard seet. Widderhuel et fir d'Adress vum baussenzege Server, déi nach ëmmer iwwer d'physesch Schnittstell misst opgeléist ginn, well eng Route, déi béid Endpunkten rekursiv fänkt de Feeler ass, deen d'Maschinn komplett vum Netz hëlt.

Bedingung zwee: kuck de Wee op all Schicht un

Routewahl ass op engem moderne Client méi wéi d'Haapttabell. Politikregelen kënne markéiert Paketen an eng aner Tabell schécken, ee Client ka säi Socket un eng Schnittstell binden, an ee Container oder Namespace huet komplett eegen Tabellen. Mat ip rule an ip route show table all fënns de eraus, wat dovun am Spill ass.

En Client, deen SO_MARK op säin eegene Socket setzt oder sou konfiguréiert ass, datt hie sech un en bestëmmten Apparat bindet, ëmgeet d'Standardroute, déi s de gegleeft hues geregelt ze hunn. Dat ass eng Funktioun an net e Feeler, an et bedeit, datt déi eenzeg zouverlässeg Kontroll eng ass, déi am selwechten Namespace wéi de Client leeft. Lafen d'Clienten a Containeren, laf d'Kontrollen an deene Containeren amplaz um Host.

Bedingung dräi: wat geschitt, wann de baussenzege Tunnel fällt

Fehlerverhalen brauch eng Entscheedung, keen Standard. Schréif op, wat mam bannenzege Tunnel geschitt, wann de baussenzege verschwënnt, a bréng duerno d'Clienten dozou, dat ze maachen.

D'Optiounen si konkret. De bannenzege Client stoppen, wann de baussenzege Wee fällt, gëtt eng propper Kette an en offensichtlechen Ausfall. Hie sech direkt nei verbannen ze loossen, gëtt Disponibilitéit a läscht stël déi Eegenschaft, fir déi d'Kette gebaut gouf. Blockéieren, bis de baussenzege Wee zréckkënnt, ass déi strengst an am Betrib lästegst Variant, well all Flattere vum baussenzege Tunnel zu engem sichtbaren Tëschefall gëtt.

Test all dräi mat harmlosem Trafik an engem absichtlechen Ausfall vum baussenzege Tunnel, well d'Konfiguratioun ze liese seet dir net, wéi eng Variant s de hues. Stopp de baussenzege Tunnel, kuck wat de bannenzege Client mécht, a kontrolléier d'Route nach eng Kéier, während hien ewech ass. Bréng de baussenzege Tunnel duerno zréck a bestätegt, datt d'Kette sech nei bildet, amplaz de bannenzege Client um direkte Wee ze loossen, deen hien tëschtdeem gewielt huet.

Wat d'Kette dir net gëtt

Zousätzlech Schichte fügen Endpunkten, Schlësselen a Fehlermodalitéiten bäi; si fügen keng Anonymitéitsgarantie bäi a si maachen den baussenzege Bedreiwer net onméiglech ze gesinn, datt et en Tunnel gëtt. All Ausso driwwer, wat d'Verschachtelung schützt, muss den Observateur nennen, virun deem se schützt.

D'Léierung ass en typescht Dokument an keng funktionéierend Verbindung: wéien Endpunkt wéie Wee benotzt, wat bei engem Ausfall vum baussenzege Tunnel geschitt an déi dräi Kommandoen, déi den aktuelle Stand weisen. d'Dokumentatioun vu strongSwan iwwer d'Weiderleeden ass eng nëtzlech Referenz dofir, wéi Tunnelverkéier op engem Linux-Host tëscht Schnittstelle weidergeleet gëtt. Laf d'Kontrollen no all Clientupgrade nach eng Kéier, well d'Standardwäerter, déi deng Kette gemaach hunn, si kee Kontrakt. En verschachtelte Tunnel, deen s de net kanns iwwerpréiwen, ass e Gericht mat enger Statusluucht.