Wéi ee Paket muss eng VPN-Politik mat zwee WAN treffen?

Ufroen, de VPN iwwer den zweete Uplink ze leeden, beschreiwen op d’mannst zwou verschidde Aarbechten, an d’Politik, déi déi eng léist, beréiert déi aner net. An der éischter Aarbecht wiesselt den verschlësselte Transport tëscht zwee Endpunkten op eng aner WAN-Adress. An der zweeter verléisst den entschlësselte Applikatiounsfloss vun engem verbonnenen Benotzer a Richtung vun engem aneren nächsten Hop. Béid si legitim, béid benotze Routing, an all eenzel brauch eng Iwwereneestëmmung op engem Paket, dat op deem Punkt existéiert, wou d’Entscheedung fällt. Gitt d’Kontrollen hei ënner der Rei no duerch, well déi éischt bestëmmt, wéi ee Paket déi spéider Reegele musse benennen.

Nennt déi zwou Gespréicher

Stellt Iech en distante Mataarbechter vir, deen un engem Bürosgateway hänkt an HTTPS zu engem internen Applikatiounsserver opmécht. Et sinn zwou onofhängeg Gespréicher um Kabel, an se hunn op all Enn verschidden Adressen. Däisselt Gespréich leeft tëscht den zwee VPN-Endpunkten: vun der Gateway-Adress zu der Peer-Adress, an deem Protokoll an deem Port, deen d’Deployment ausgehandelt huet. D’bannenzegt Gespréich leeft vun der Adress, déi de Client kritt huet, zu der Adress vum Applikatiounsserver um Port 443.

Den Zilport vun der Applikatioun ass net den Transportport vum VPN, a keng Quantitéit Politik op TCP 443 beweegt den Tunnel. Genee esou seet eng Regel, déi d’Transportadress vum Peer ëmleede, näischt doriwwer, wou d’HTTP-Ufro vun deem Benotzer no der Entschlësselung higeet. Schreift béid Gespréicher mat hire richte gen Adressen op, ier Dir eng Regel ufässt, well de meeschten Duercherneen an dësem Beräich dohier kënnt, datt een déi eng nennt an déi aner konfiguréiert.

Fannt eraus, wou Är Politik de Paket wierklech gesäit

D’Iwwereneestëmmung muss an där Kette an deem Nummraum evaluéiert ginn, wou de Paket nach an der Form ass, déi Dir beschriwwen hutt. Eng Regel, déi um LAN-Agang hänkt, gesäit de bannenzegen Paket onverschlësselt, ier en a Richtung Tunnel gerout gëtt. Eng Regel, déi op lokal generéierte Verkéier ugewannt gëtt, gesäit Pakete, déi de Gateway selwer erstellt, an se deckt net automatesch de Verkéier of, deen de Gateway just virun schéckt. Verschlësselt Ausgab ass nach eng drëtt Fall, déi normalerweis op der Schnëttstell behandelt gëtt, déi den Tunnel dréit, an net op der LAN-Säit.

Dofir behält sech dee selwechte Konfiguratiounsschnappsel op zwou Plattformen anescht: d’Uschlusspunkten ënnerscheede sech, an de Politiks-Hook vun engem Hiersteller kann virun oder no dem Verschlësselungsschrëtt sëtzen. Liest de Paketswee fir de konkrete Produkt, amplaz d’Reiefolleg aus dem Diagramm vun engem aneren Hiersteller unzehuelen.

Bestätegt den Transport, deen Dir ausgehandelt hutt

Bei UDP-verschlësseltem IPsec setzt RFC 3948 ESP bannent UDP a benotzt eng Markéierung, déi net ESP ass, fir IKE um gedeelte Port ënnerscheedbar ze halen. Reen ESP ass en IP-Protokoll, keen TCP- oder UDP-Port, dofir trefft eng Firewallregel, déi op eng Portnummer geschriwwe gouf, en iwwerhaapt net. Dësen Ënnerscheed entscheet, ob Är WAN-Politik eng UDP-Regel, eng Protokollregel oder béides brauch.

Ausgehandelt Wäerter schloen gemierkt. Liest déi aktuell Porten an Adressen vun der Associatioun vum Apparat of, amplaz TCP 4500 oder en ale Hierstellersport fir de Fall vun de Fäll derbäizesetzen, wat frieme Verkéier fänkt an de richtegen Klassifikatiounsproblem verstoppt.

Kuckt de Retourwee, ier Dir Iech festleet

Erfolleg eraus beweist d’Halschent vun engem Entworf. En Paket, deen an de Pool vun de distante Clienten zréckkënnt, ass ënner der Adress vum Client net méi siichtbar, soubal d’Verschlësselung se ersetzt: den äusseren Zil ass d’Transportadress vum Peer. Wann den zweete Uplink dee Peer iwwer en aneren Ubieder erreecht, kënnen seng Iwwersetzung a Filterung mat där éischter net iwwereneestëmmen, an d’Associatioun muss vläicht nei opgebaut an net migréiert ginn.

Den Zoustand vun der Netzwierkadressiwwersetzung ass dat üblecht Affer vun engem WAN-Wiessel. Notéiert den ausgewielten Uplink, déi erwaart äusser Quelladress, d’Iwwersetzung an der Benotzung an d’Erreechbarkeet vum Peer zréck dohin, da haalt den Transport erreechbar, ouni en an den Tunnel ze schécken, deen en dréit.

Iwwerpréift béid Schichten mat zwee Opnamen

Een Opnam um WAN-Interface an een am Tunnel entscheeden d’Fro méi séier wéi all Konfiguratiounsvergläich. Fuert se vum Gateway aus, während en ugehollene Client eng eenzeg Ufro mécht, a behält béid Fichieren.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Den éischten Opnam sollt d’äussert Gespréich weisen, wéi et den Interface verléisst, deen Dir geduecht hat, mat der erwaarter Quelladress. Den zweete sollt d’bannenzegt Gespréich eemol weisen, net duebel, mat der Clientadress als Quell an dem Applikatiounsserver als Zil. D’Rutesich bestätegt, wéi eng Tabell de Router fir dee Quell-Zil-Puer géif benotzen, an do weist sech normalerweis e Politikfehler. Wann ee vun den Opname net erschéngt, ass den Entscheedungspunkt sirewoss anescht wéi do, wou d’Regel ugehängt gouf, an d’Korrektur gehéiert dohin an net an eng méi breet Iwwereneestëmmung.