Eng NIC oder zwou? D'Interface-Layout vun engem VPN-Server entscheeden

Ee physikaleschen Adapter duerft fir vill VPN-Serveren, an et ass och keng universell Léisung. Déi verschlësselt Verbindung kënnt op deen Adapter, de VPN-Prozess entschlësselt se, an duerno geet den bannenzege Traffic duerch en virtuelle Interface eraus, ier en eng lokal Servicer oder eng geroutete LAN erreecht. Ob dat funktionéiert hänkt vun dräi Konditiounen of: wou d'Destinatioun läit, ob d'LAN e Réckwee zum Client-Pool huet, an ob eng eenzeg gedeelte physikalesch Verbindung Iech déi Isolatioun gëtt, déi Dir behaapt. Äntwert op déi dräi an d'Zuel vun den Adapteren ergëtt sech doraus.

Déi dräi Konditiounen, déi et entscheeden

Déi éischt Konditioun ass d'Destinatioun. Engem Service um VPN-Host selwer erreecht een nëmmen iwwer den Tunnel-Interface, wärend en Host an der LAN Forwarding an e Réckwee brauch. Déi zweet Konditioun ass dee Réckwee, well d'LAN-Gerät muss wëssen, wéi et de Client-Pool erreecht, entweder iwwer eng Route oder iwwer eng Iwwersetzung um Server.

Déi drëtt Konditioun ass d'Separatioun. Een Adapter heescht, datt all Pak, verschlësselt oder net, eng Verbindung an normalerweis eng eenzeg Policy-Kette deelt, dofir gëtt eng Isolatiounsbehaaptung, déi op separater Hardware berout, vun engem eenzegen Interface net erfëllt. Dat ass eng Tatsaach iwwer de Wee, net iwwer d'Konfiguratioun vum Betriibssystem. Dir kënnt den Tunnel-Traffic nach ëmmer filteren, awer Dir kënnt keng Grenz behaapten, déi Dir net hutt.

Keng vun den dräi geet et ëm d'Zuel vun de Porten um Chassis. Et geet ëm Routing, d'Eegentum un den Adressen a wéi vill de Projet vun der physikalescher Separatioun ofhänkt.

Zwee Adaptere bleiwen eng legitim Wiel, wann physikalesch Zonen, separat Uplinks, Duerchbroch oder e Recuperatiounswee ausserhalb vum Band se justifiéieren. Dat sinn konkret Ufuerderungen, an et ass derwäert, se ze formuléieren, ier een Hardware bestellt.

Wann de Service um VPN-Host leeft

Den einfachste Fall brauch iwwerhaapt kee Forwarding. Den Daemon hëlt dem Client seng Päck um Tunnel-Interface un a gëtt se un e lokale Socket weider, an d'Äntwert kënnt iwwer deen selwechten Interface zeréck. Fir den Host ass d'Adress vum Client-Pool eng richteg lokal Adress.

Zwee Saache müsse awer nach stëmmen: de Service muss op enger Adress lauschteren, déi den Tunnel erreeche kann, an d'Firewall vum Host muss den Traffic unhuelen, dee um Tunnel-Interface ukënnt. Béides gesäit een an den Uerderen hei drënner.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

E Service nëmmen un déi ëffentlech Adress bannen, oder den Tunnel-Interface aus Versehen filteren, ergëtt eng Verbindung, déi den Host erreecht an duerno stierft. Dat gesäit aus wéi e VPN-Feeler an ass meeschtens eng Entscheedung iwwer Socket oder Firewall.

Wann d'Destinatioun an der LAN läit

Hei kritt en Design mat engem Adapter säi Ruff, haartnäckeg ze sinn. De Server muss dem Client seng Päck a Richtung LAN forwarden, an d'LAN-Gerät muss d'Äntwerten zeréck an de Client-Pool schécken. Entweder drot Dir dee Pool als Route an der LAN, oder Dir iwwersetzt d'Quelladress um Server, sou datt d'Äntwerten zum Server selwer zeréckkommen.

Béid Äntwerten si legitim a si versoe sech ënnerschiddlech. Eng Réckwee-Route hält d'original Clientadress fir d'Destinatioun sichtbar, wat gutt fir Loggen an schlecht fir Firewall-Regele ass, déi LAN-Adressen unhuelen. D'Iwwersetzung hält d'LAN einfach a verstoppt d'Identitéit vum Client virun der Destinatioun.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

En asymmetresche Wee ass de klassesche Symptom: d'Ufro vum Client kënnt un, d'Äntwert geet iwwer en aneren Router eraus, an d'Verbindung leeft op béiden Enner ouni Feeler an d'Zäit. Maacht Opnamen op béide Säiten, ier Dir eppes iwwer den Tunnel schléisst.

Firwat en Alias keng zweet Zon schaaft

Eng zweet Adress op dee selwechten Adapter setzen, oder en Dummy-Interface ubidden, deen en zweete Port imitéiert, ännert ganz wéineg. D'Päck ginn nach ëmmer iwwer déi selwecht physikalesch Verbindung, dee selwechte Switch-Port an normalerweis déi selwecht Firewall-Kette eraus, dofir entsteet tëscht hinnen keng nei Grenz. Et ass Konfiguratiouns-Komfort, net Segmentatioun. Et als Zonengrenz ze behandelen ass de Wee, op deem eng Isolatiounsbehaaptung nëmmen um Pabeier iwwerlieft.

Eng separat Zon brauch eng richteg Separatioun am Wee, an dat ass d'Ufuerderung, déi en zweeten Adapter erfëllt. Wann eng Regel drop berout, datt den Traffic a Richtung VPN ni eng Broadcast-Domän mam Traffic a Richtung LAN deelt, kann ee Kabel déi Eegenschaft net liwweren, egal wéi den Host adresséiert ass.

Wou e Produkt eng Multi-Interface-Topologie fir e bestëmmte Modus dokumentéiert, follegt der Dokumentatioun vun deem Produkt, amplaz e Workaround ze erféieren. Hiersteller änneren och déi ënnerstëtzt Topologien tëschent Verëffentlechungen, wat nach e Grond ass, dee momentanen Guide ze liesen an net de Screenshot vun engem alen Assistent.

Préift d'Layout géint den Traffic, deen Dir erlaabt

Lëscht d'Traffic-Klassen op, déi de Server droe soll: Client zum Host, Client zur LAN, Host zur LAN an déi verschlësselt baussenzeg Verbindung. All Klass huet eng Quell, eng Destinatioun an en Interface, an d'Layout muss déi véier gläichzäiteg erfëllen. En Design, deen der dräi dovunner behandelt, ass meeschtens deen, deen Ticketen generéiert.

Duerno bestätegt déi tatsächlech Interfaces an den tatsächlichen Opnam, net den Diagramm am Design-Dokument. Déi Uerderen hei drënner drécken béid Usiichten.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Wann den baussenzege Opnam den verschlësselten Traffic weist an den bannenzege Opnam den entschlësselten Traffic um Tunnel-Interface, während den physikaleschen Adapter béides dréit, da mécht eng eenzeg NIC d'Aarbecht. Wann den bannenzege Opnam eidel ass, läit de Problem am Tunnel oder an de Forwarding-Regelen, net an der Zuel vun den Adapteren. Entscheet d'Topologie aus deenen zwou Opnamen an der Routing-Tabelle, an déi nächst Ännerung huet eppes, un deem se sech moosse léisst.