Wien äntwert tatsächlech op der dedizéierter Adress vum VPN?

Eng Adress, déi onbenotzt an der Zoustellung vun der Organisatioun läit, ass keen Nolauschterer, a se enger Firewall bäizesetzen erstellt keen. Eppes muss IKE op där Adress beenden, an de Mechanismus ënnerscheet sech jee nodeem, ob de Gateway d'Adress besëtzt oder en ieweschte Gerät se iwwersetzt. Et ass de Paketswee, deen déi zwee ënnerscheet, an hien entscheet, wéi eng Plattformfunktioun Dir braucht, ier een eng Ännerungsufro opmécht. Modelléiert den Wee fir d'éischt, a wielt dann.

De Paketswee hannert der Adress

E Peer schéckt IKE op d'Adress, déi hien kritt huet, op UDP 500 oder op UDP 4500, wann NAT-Duerchgang am Spill ass. Wat fir en Apparat och ëmmer déi Adress um Wee huet, hien entweeder kritt den Datagramm lokal a beäntwert en, oder hien leet en weider an eng aner Plaz. Dat sinn déi eenzeg zwou Méiglechkeeten, an alles anescht an dësem Artikel kënnt doraus, wéi eng dovun wouer ass.

Lokal kréien heescht, datt et en Socket op deem Apparat gëtt, gebonnen un déi Adress. Weiderleeden heescht, datt den Datagramm ëmgeschriwwen a weider op en aneren Endpunkt geschéckt gëtt, deen dann de Socket huet. Eng Firewall-Reeg, déi UDP 500 erlaabt, seet Iech näischt doriwwer, wéi eng vun den zwou Saachen do geschitt.

Schreift den Rekord, ier Dir eppes ufässt: d'Adress, mat där d'Peeren a Kontakt trieden, wéi dat iewescht Netzwierk se liwwert, de lokalen Interface oder de logeschen Endpunkt, deen se kritt, an de Prozess, deen IKE beäntwert. Véier Zeilen, a jiddereen ass iwwerpréifbar. Wann eng dovun onbekannt ass, ass déi Onbekannt d'Designaarbecht an net en Implementatiounsdetail, dee méi spéit decidéiert gëtt. Se ausfëllen, nodeem d'Ännerungsufro genehmegt gouf, ass de Wee, wéi eng Iwwersetzungsreegel um falschen Apparat landt.

Modell A: de Gateway besëtzt d'Adress

Am éischte Modell hält de Gateway d'Adress selwer, entweder als Sekundäradress op engem bestoenden Interface, als Adress op engem dedizéierten Interface oder als Loopback, deen d'Plattform als Tunnelsendpunkt ënnerstëtzt. Dat sinn dräi verschidde Funktiounen mat dräi verschiddenen Konfiguratiounsweeër, an eng Plattform, déi eng ënnerstëtzt, ënnerstëtzt vläicht déi aner net.

Confirméiert, datt d'Plattform an de Release genee dës Arrangement ënnerstëtzen, ier Dir dorëmmer designt. En geroutete Block, eng zousätzlech Adress op engem Interface an en Loopback-Endpunkt sinn net austauschbar, an d'Dokumentatioun vun engem Release versprécht net, datt deen nächsten sech gläich behält.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Den nolauschterende Socket ass de Beweis. Wann näischt un d'Adress gebonnen ass, ass de Gateway net den Terminator, egal wat d'Routingstabell seet, an eng Paketsopnam weist d'Datagrammen ukomm, ouni datt eppes se beäntwert.

Setzt keen zweeten Interface an en Subnetz, deen et schonn an enger anerer Plaz an der Topologie gëtt, a gitt net dovun aus, datt d'Plattform dat reegelt. Iwwerlappend Interface-Subnetzer produzéieren eng onkloer Quellauswiel an op ville Plattformen engem komplette Refus, sech ze konfiguréieren.

Modell B: en ieweschte Gerät iwwersetzt se

Am zweeten Modell hält eng ieweschte Firewall déi dedizéiert Adress a leet den Trafik op en anere VPN-Gateway weider. Dat ass eng Destinatiounsiwwersetzung mat engem Retourweg, an et ass en duerchaus valabel Design, soulaang et als esou dokumentéiert ass.

Wat et net ass, ass de Beweis, datt den ieweschten Apparat e lokalen VPN-Socket kritt huet. D'Iwwersetzung leet Päck weider; si mécht déi iewescht Këscht net zu engem IKE-Äntwerer. Wann d'iewescht Regel ewechgeholl gëtt oder hire Retourweg brécht, hält de VPN op, och wann de Gateway gesond ass an seng eegen Nolauschterer intakt sinn.

Schreift béid Adressen op: déi, mat där d'Peeren a Kontakt trieden, an déi, déi de Gateway wierklech gesäit. Schreift duerno den Transport an de Retourweg op, well eng Iwwersetzung, déi fir UDP 500 funktionnéiert, awer net fir encapsuléierte ESP, sech verbënnt an duerno kee Trafik ka droen, wat e verwirrenden Ausfall ass, dee méi spéit ze debuggen ass.

D'Identitéit ass net déi baussenzeg Adress

IPsec trennt den Tunnelsendpunkt vum Trafik, deen hie schützt, an d'Architektur hält déi Entscheedungen op verschiddene Plazen. D'Adress z'änneren, mat där d'Peeren a Kontakt trieden, ännert net automatesch, wéi eng intern Prefixe erlaabt sinn, wéi eng Route installéiert gëtt oder wéi eng Ressourcen d'Sessioun ka erreechen.

D'authentifizéiert Identitéit ass erëm separat. IKEv2 dréit eng Identitéitsbelaaschtung an en Authentifikatiounsaustausch, déi net mussen zu der baussenzeger Paketsadress passen, an genau dowéinst kann en iwwersetzten Design nach ëmmer richteg authentifizéieren.

Déi Onofhängegkeet ass nëtzlech an och eng Fal. Zwee DNS-Nimm, déi op ee gewéinlechen Nolauschterer opléisen, wielen net verschidden VPN-Backends, an en Zertifikat, deen eng Identitéit nennt, wäert engem Peer, deen eng aner erwaart, net genuch maachen. Confirméiert, wat de Peer validéiert, ier Dir unhëlt, datt just d'Adress dat entscheet.

Akzeptéiert den Design, andeems Dir eng Verbindung observéiert

Iwwerpréift, wou eng nei autoriséiert Verbindung tatsächlech geliwwert gëtt, wéi eng Identitéit äntwert a wéi en private Floss duerno erlaabt ass. Dräi Observatiounen, dräi verschidde Schichten, an eng erfollegräich ëffentlech Sich vun der Adress testt keng dovun.

Behält och de negative Fall: e Peer, deen net sollt akzeptéiert ginn, oder en internen Prefix, deen net sollt erreechbar sinn, no der Ännerung iwwerpréift. Den Rekord, deen Dir um Ufank geschriwwen hutt, ass dat, wat deen Test méiglech mécht, ouni den Design aus dem Gedächtnis ze rekonstruéieren.

De Sënn vun all dësem ass, dem Netzwierkbesëtzer ze loossen eng ënnerstëtzte Zoustellungsmethod ze wielen, amplaz sech op eng allgemeng Behauptung ze verloossen, wat all Firewall mat enger zousätzlecher Adress ka maachen. Genau déi Behauptung ass d'Plaz, wou dës Designen falsch ginn, well se op all Plattform plausibel kléngt an allgemeng op kenger stëmmt. De Rekord vu véier Zeilen entscheet et fir Är Plattform an zéng Minutten.