Zwee VPN-Spréng hannereneen: wien gesäit wierklech Ären Trafick?
Seriell Spréng entschlësselen a verschlësselen nach eng Kéier um éischte Gateway; genest Spréng huelen nëmmen déi baussenzeg Schicht ewech. Gitt béid Designen duerch a gesitt, wéi en Operateur wat liest.
All Client-Profil nennt ee Server, also aus der Siicht vum Benotzer gëtt et een Tunnel an eng Plaz, wou de Schutz ophält. Wat no deem éischten Gateway geschitt, ass eng Designentscheedung, déi de Client ni gesäit, an déi zwee üblech Designen behuelen sech ënner Inspektioun ganz ënnerschiddlech. An enger serieller Kette entschlësselt den éischten Gateway a verschlësselt nach eng Kéier. An enger genester Kette hëlt en eng baussenzeg Schicht ewech a leet en bannenzege Tunnel weider, deen en net opmaache kann. D'Zuel vun de Spréng ass an deenen zwou identesch, dofir muss den Ënnerscheed gezeechent ginn an net gezielt.
Fänkt beim Client un a nennt béid Enner
Fänkt do un, wou de Benotzer ufänkt, am Verbindungsprofil. Et hält eng eege Fernadress, eng Authentifizéierungsmethod an, wa vum Design ënnerstëtzt, eng Lëscht vu Route. Etikettéiert deen baussenzegen Tunnel vum Client bis zum Gateway A a gitt him Beispilladressen: d'Tunneladress vum Client 10.77.0.2, déi vum A 10.77.0.1 an den ëffentlechen Endpunkt vum A 198.51.100.10, aus dem TEST-NET-2-Dokumentatiounsberäich geholl, sou datt näischt am Beispill mat engem richtege Host kollidéiere kann.
Näischt an deem Profil ernimmt de Gateway B, an dat ass keen Defekt. Den zweeten Sprong gehéiert zum A, an déi eenzeg Flicht vum Client ass, den Trafick bis zum A ze liwweren an unzehuelen, wat zréckkënnt. Ob A den Tunnel ofschléisst, weiderleet oder en neien opmaacht, ass d'Fro, op déi de Rescht vun dëser Visite äntwert, an si entscheet, wat A liese kann.
Seriell: A entschlësselt, verschlësselt dann nach eng Kéier
Am seriellen Design schléisst A den Trafick zweemol of. Et hëlt de Schutz vum Client ewech, kritt den IP-Paket vun der Applikatioun an schéckt dëse Paket dann duerch en zweeten Tunnel, deen A Richtung B opbaut. Tëschent dësen zwou Operatiounen läit de Paket am Weiderleeungswee vum A als en normale IP-Paket, deen un en privat Zil adresséiert ass.
Dat gëtt zwee Konsequenzen, déi ee klar soll soen. A kann eng Politik op de bannenzege Paket uwenden, a Form vu Route, Filterregele a Logging vu Quell an Zil, an A muss zwee Sätz Umeldungsinformatiounen halen: ee als Server fir de Client an ee als Client vum B. Schutz existéiert zu all Moment, awer dat geschützt Objet wiesselt bei A d'Identitéit.
Doraus folgt net, datt A den einfachen Text vun der Applikatioun liest. Wann de Client an de Service TLS lafen loossen an déi aner hire Certificat verifizéieren, gesäit A eng TLS-Recordstréim an net eng liesbar Ufro. Fir ze bestätegen, wou dee Schutz ophält, muss ee d'Zertifikatskette vum Service kucken, net den Tunnel-Diagramm.
Genest: A hëlt nëmmen déi baussenzeg Schicht ewech
Am geneste Design baut de Client fir d'éischt en bannenzegen Tunnel bis zum B an dréit deen Tunnel dann am baussenzegen bis zum A. A zitt de baussenzege Header of, fënnt en bannenzegen Tunnel a leet en weider, ouni seng Schlësselen ze halen, sou datt de bannenzege Schutz nach ëmmer beim B ophält.
Dann dréit den Uplink vum Client zwou Schichten, wärend de Wee tëschent A a B eng dréit. A gesäit déi baussenzeg Adresse vum bannenzegen Tunnel, wat duer ass fir ze wëssen, datt et Trafick gëtt an ongeféier wou en higeet, an net duer fir d'Payload ze liesen. Dat ass den ganzen Ënnerscheed zum seriellen Fall, an keen Hop-Zieler weist en. Wat A nach ka maachen, ass d'Weiderleeë vun deem ze refuséieren, wat et net liese kann, an dat ass dem Operateur vun deem Gateway ëmmer zougänglech.
D'Genestung kascht fir déi Eegenschaft. All Schicht bäisetzt Header-Overhead, dofir gëtt d'MTU- an MSS-Planung obligatoresch an net just uerdentlech, an e Wee, deen mat enger Schicht funktionéiert, kann mat zwou grouss Pakete stëll verléieren. All Schicht brauch och hiert eegent Verhalen fir nei ze verbannen a lieweg ze halen, an e Feeler an enger Schicht gesäit aus wéi eng partiell Ënnerbriechung duerch déi aner.
Zeechent d'Observateuren, net just d'Tunnelen
D'Tunnelen sinn den einfachen Deel vum Bild. D'Observateure sinn dat, ëm wat et am Design geet, also schreift eng Zeil pro Siichtpunkt a fëllt aus, wat jidderee wierklech liese kann.
| Vantage point | Serial chain | Nested chain |
|---|---|---|
| Client's access network | Outer tunnel only | Outer tunnel only |
| Operator of A | Inner IP packet between A and B | Outer addresses of the inner tunnel, not its payload |
| Path between A and B | Second tunnel | Second tunnel |
| Operator of B | Inner packet re-originated by A | Payload after the inner layer is removed |
| Service edge | Traffic from the exit address | Traffic from the exit address |
Zwou Zeile ginn dauernd verwiesselt: den Operateur vum A an de Fournisseur vum Client sengem Tunnel. Si kënnen eng eenzeg Entitéit sinn, an getrennte Gateway-Nimm maachen se net onofhängeg. Onofhängeg Proprietéit brauch getrennt administrativ Kontroll, getrennt Umeldungsinformatiounen a getrennte Logging.
Metadaten iwwerliewe béid Designen. Timing, Paketgréissten a Verbindungszuelen bleiwen op all Sprong observabel, dofir zwee Spréng erhéijen d'Käschte vun der Korrelatioun amplaz d'Signal ewechzehuelen. En Design, deen Onsichtbarkeet versprécht, sollt géint déi Lëscht gepréift ginn, ier sech een drop verléisst.
Gitt d'Feelerweeër duerch, ier Dir wielt
Briechen Saachen absichtlech vum Client aus, an der Rei, wéi e Benotzer se begéine géif. Fänkt mat der Interface an hirem MTU un, well d'Genestung op der Paketgréisst vill méi fréi versot wéi op der Authentifizéierung.
ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1Bestätegt dann d'Schutzendpunkten, amplaz se unzehuelen. Frot de Service no sengem Certificat vun bannen aus deem Tunnel, deen op ass, a vergläicht d'Kette, déi de Client gesäit, mat der Kette, déi de Service wierklech presentéiert. En Gateway, deen nei ënnerschreift oder offänkt, ännert dee Certificat, an d'Inspektioun gëtt an engem eenzegen Uerder sichtbar.
openssl s_client -connect intranet.example.com:443 -brief < /dev/nullSchléisst mat der Reconnect-Matrix of: den Tunnel vum Client fällt, den Tunnel vum B fällt, de Wee tëschent A a B ännert sech. Notéiert, wat zréckkënnt an wat net, an ob eng bannenzeg Verbindung iwwerhaapt op eng Route baussent hirem virgesinnene Carrier fällt. Registréiert d'Adressen, déi all Test benotzt huet, well se op engem aneren Access-Netzwierk ze widderhuelen eng aner Fro beäntwert. Widderhielt och d'MTU-Prüfung no all Reconnect, well en geännerten Wee d'notzbar Gréisst ka senken, ouni datt eng eenzeg Konfiguratiounszeil sech beweegt.
Wielt seriell, wann A eng Politik op de bannenzege Paket muss uwenden, oder wann de Client net zwee gestapelt Tunnelen bedreiwe kann. Wielt d'Genestung, wann d'bannenzeg Payload beim A onliesbar musst bleiwen. Schreift d'Wiel mat hiren Observateuren an hire MTU-Zuelen op, an déi nächst Persoun muss net dat ganzt Bild nei zeechnen, fir eng Fro ze beäntweren.