Site-à-Site oder Remote Access iwwer VPN: wat déi zwee verbënnt

Béid Konzepter heeschen VPN a si léisen ënnerschiddlech Problemer. En Site-à-Site-Tunnel verbënnt zwou Gateways, sou datt all Host dobäi erlaabt Adressen op der anerer Säit erreeche kann, ouni eppes z’installéieren. En Remote-Access-Tunnel verbënnt eenzel Apparater mat engem Netz, een Client op eemol. D’Vergläich ass wichteg, well déi meeschte Feeler bei der Ausrollung entstinn, wann een dat engt konfiguréiert an dat anert Verhalen erwaart, an de Symptom ass meeschtens en Timeout bei engem Service, deen den Tunnel wierklech erreecht huet.

Zwee Konzepter, zwou Grenzen

Keen vun deene béide Konzepter erweidert eng LAN-Broadcast-Domaine. Apparater op der anerer Säit erschéngen net an enger lokaler Entdeckungslëscht, an dat ze erwaarden ass déi éischt Unhuel, déi ee missen ofleeën. Privat DNS-Nimm, déi Dir bewosst publizéiert, si méi viraussobar wéi jiddereen Entdeckungsprotokoll, a si iwwerstinn en Ubidderwiessel.

Huet 10.10.0.0/24 op enger Plaz an 10.20.0.0/24 op der anerer. Gateway A brauch eng Route oder en Traffic-Selektor, deen de Prefix 10.20.0.0/24 an den Tunnel schéckt, a Gateway B brauch d’Spigelbild dovun. Duerno benotze d’Hosten op béide Säiten gewéinlech IP-Konnektivitéit a wësse ni, datt en Tunnel existéiert. Déi Onsichtbarkeet ass d’Funktioun, an duerfir gesinn d’Stéierungen aus wéi gewéinlech Netzwierkfeeler an net wéi Tunnelfeeler.

Richtlinn-basiert a Route-basiert sinn net dee selwechten Tunnel

An enger richtlinn-baséierter IPsec-Ausrollung definéieren déi ausgemaachte Traffic-Selektoren genee, wéi eng Quell- an Zilpaar geschützt sinn. Wann hannert enger Gateway en neit Subnetz erschéngt an kee Selektor et deckt, bleift den Tunnel op, an dat neit Subnetz gëtt einfach net gedroen. An engem route-baséierten Design kritt en Interface den Traffic, an d’Routingtabell entscheet, wat d’Derbäisetze vun engem Prefix zu enger Routingännerung an net zu enger neier Tunnelverhandlung mécht.

StrongSwan weist béid Siichten direkt, an se zesummen ze liesen ass de Wee erauszefannen, wéi ee Modell Dir tatsächlech ausgerullt hutt.

swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'

Eng Selektorslëscht, déi de Prefix vermësst, deen Dir braucht, erkläert de Feeler ouni jidweren Packetfang, an eng Route, déi op den falschen Interface weist, erkläert de Spigelbildfeeler um Réckwee. Liest béides, éier Dir eppes nei verhandelt, well eng Schlësselerneierung kee Selektor bäisetzt, deen Dir ni konfiguréiert hutt.

Plangt d’Adresséierung virum Tunnel

Iwwerlappend Beräicher sinn de Konzeptfeeler, deen een net mat Konfiguratioun reparéiere kann. Wa béid Plazen 192.168.1.0/24 benotzen, huet en Host, deen 192.168.1.50 brauch, zwee Kandidaten an keng Méiglechkeet ze wielen. Den Tunnel authentifizéiert sech, d’Sécherheetsassociatiounen entstinn, an d’Routingentscheedung ass awer nach ëmmer falsch oder zweedeiteg.

Wielt eng vun dräi éierleche Méiglechkeeten: eng Plaz nei nummeréieren, den iwwerlappende Beräich op der Gateway iwwersetzen, sou datt all Säit een anere Prefix gesäit, oder fir déi Hosten op direkt Routing verzichten an de Service anescht publizéieren. Jiddereen huet e Käschten, an deen éischten ass meeschtens dee bëllegsten iwwer en Zweejoerhorizont. Entscheet, éier den Tunnel existéiert, well duerno beréiert d’Ännerung all Apparat mat der aler Adress.

Kläert och d’MTU-Fro fréi. En Tunnel reduzéiert d’notzbar Notzlaascht, an e Konzept, deen op Fragmentéierung setzt, verhält sech anescht wéi een, deen d’MSS op de Gateways fixéiert.

Weiderleedung a Politik leien ausserhalb vum Tunnel

D’Gateway muss bereet sinn, Packagen tëschent dem Tunnel-Interface an dem LAN-Interface weiderzeleeden, an béid Richtunge brauchen eng Politik, déi de Service erlaabt. Ënner Linux sinn dat zwou getrennte Astellungen, plus d’Firewall-Regelen, déi entscheeden, ob de weidergeleet Floss iwwerhaapt erlaabt ass.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPT

Den empfangenden Host setzt eng drëtt Schicht bäi: seng eege Firewall muss nach ëmmer e Client aus dem wäitem Subnetz akzeptéieren. En Dateiserver, dee just säi lokalt /24 erlaabt, refuséiert weidergeleet Traffic vun 10.20.0.7, sou gesond wéi den Tunnel och ausgesäit, an déi Refusatioun liest een einfach als Routingfeeler.

Test vun engem Host, net vun der Gateway

E Ping, deen d’Gateway selwer schéckt, kann enger anerer Quelladress an enger anerer Politik suivéieren wéi weidergeleet Benotzertraffic. Dat mécht en zu engem schwaachen Test an heiansdo zu engem irreführenden: en geléngt, während d’Applikatioun feelt, oder feelt, während d’Applikatioun funktionnéiert.

ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/null

Benotzt en echte Host, eng echt Quelladress an dee richtege Protokoll, deen d’Applikatioun benotzt. Liest dann de Réckwee getrennt, well eng funktionéierend Richtung no vir ouni Réckroute en Timeout produzéiert, dee genee d’selwecht ausgesäit wéi e blockéierte Service.

Wielt de Konzept no der Fro, déi Dir beäntwert: verbënnt Dir Netzer oder hëlt Dir Apparater un? Alles anescht, och wéi en Ubidder Dir konfiguréiert, ergëtt sech aus där Äntwert.