Kas īsti atbild uz VPN īpašo adresi?

Adrese, kas organizācijas piešķīrumā stāv neizmantota, nav klausītājs, un tās pievienošana ugunsmūrim nevienu neizveido. Kaut kam ir jāpabeidz IKE šajā adresē, un mehānisms atšķiras atkarībā no tā, vai adresi pārvalda vārteja vai to pārtulko augšupēja ierīce. Tieši pakešu ceļš abus izšķir, un tas nosaka, kura platformas funkcija jums nepieciešama, pirms kāds atver izmaiņu pieprasījumu. Vispirms modelējiet ceļu, pēc tam izvēlieties.

Pakešu ceļš aiz adreses

Partneris sūta IKE uz adresi, kas tam dota, UDP 500 vai UDP 4500, ja iesaistīta NAT šķērsošana. Jebkura ierīce, kuras rīcībā ceļā ir šī adrese, vai nu saņem datagrammu lokāli un atbild uz to, vai pārsūta to citur. Tās ir vienīgās divas iespējas, un viss pārējais šajā rakstā izriet no tā, kura ir patiesa.

Saņemšana lokāli nozīmē, ka šajā ierīcē pastāv ligzda, kas piesaistīta šai adresei. Pārsūtīšana nozīmē, ka datagramma tiek pārrakstīta un nosūtīta tālāk uz citu galapunktu, kuram tad ir ligzda. Ugunsmūra noteikums, kas atļauj UDP 500, neko nepasaka par to, kura no abām notiek.

Uzrakstiet ierakstu, pirms kam pieskaraties: adresi, ar ko sazinās partneri, kā to piegādā augšupējais tīkls, lokālo interfeisu vai loģisko galapunktu, kas to saņem, un procesu, kas atbild uz IKE. Četras rindas, un katru var pārbaudīt. Ja kāda no tām nav zināma, šis nezināmais ir projektēšanas darbs, nevis vēlāk risināma ieviešanas detaļa. To aizpildīšana pēc izmaiņu pieprasījuma apstiprināšanas ir veids, kā tulkošanas noteikums nonāk nepareizajā ierīcē.

Modelis A: adresi pārvalda vārteja

Pirmajā modelī vārteja pati glabā adresi — kā sekundāro adresi esošā interfeisā, kā adresi īpašā interfeisā vai kā loopback, ko platforma atbalsta kā tuneļa galapunktu. Tās ir trīs dažādas funkcijas ar trim dažādiem konfigurēšanas ceļiem, un platforma, kas atbalsta vienu, var neatbalstīt pārējās.

Pirms projektējat ap to, apstipriniet, ka platforma un laidiens atbalsta tieši šo izkārtojumu. Maršrutēts bloks, papildu adrese interfeisā un loopback galapunkts nav savstarpēji aizstājami, un viena laidiena dokumentācija neapsola, ka nākamais izturēsies tāpat.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Klausošā ligzda ir pierādījums. Ja adresei nekas nav piesaistīts, vārteja nav pabeidzējs neatkarīgi no tā, ko saka maršrutēšanas tabula, un pakešu uztveršana parādīs ienākošas datagrammas, uz kurām nekas neatbild.

Nelieciet otru interfeisu apakštīklā, kas jau pastāv citur topoloģijā, un nepieņemiet, ka platforma to sakārtos. Pārklājoši interfeisu apakštīkli rada neviennozīmīgu avota izvēli, un daudzās platformās — pilnīgu atteikšanos konfigurēt.

Modelis B: to pārtulko augšupēja ierīce

Otrajā modelī augšupējs ugunsmūris glabā īpašo adresi un pārsūta satiksmi uz citu VPN vārteju. Tas ir galamērķa tulkojums ar atgriešanās ceļu, un tas ir pilnīgi derīgs projekts, kamēr vien tas tā dokumentēts.

Tas, kas tas nav, ir pierādījums, ka augšupējā ierīce ieguvusi lokālu VPN ligzdu. Tulkojums pārsūta paketes; tas nepadara augšējo kasti par IKE atbildētāju. Ja augšupējais noteikums tiek noņemts vai tā atgriešanās ceļš pārtrūkst, VPN apstājas, lai gan vārteja ir vesela un tās pašas klausītāji neskarti.

Reģistrējiet abas adreses: to, ar ko sazinās partneri, un to, ko vārteja patiešām redz. Pēc tam reģistrējiet transportu un atgriešanās ceļu, jo tulkojums, kas darbojas UDP 500, bet ne iekapsulētam ESP, izveidos savienojumu un pēc tam nespēs pārvadāt satiksmi, kas ir mulsinoša kļūme vēlākai atkļūdošanai.

Identitāte nav ārējā adrese

IPsec atdala tuneļa galapunktu no satiksmes, ko tas aizsargā, un arhitektūra šos lēmumus glabā dažādās vietās. Adreses, ar ko sazinās partneri, maiņa automātiski nemaina to, kuri iekšējie prefiksi ir atļauti, kuri maršruti tiek instalēti vai kuri resursi sesijai ir sasniedzami.

Autentificētā identitāte atkal ir atsevišķa. IKEv2 nes identitātes kravu un autentifikācijas apmaiņu, kam nav jāatbilst ārējai paketes adresei, un tieši tāpēc pārtulkots projekts joprojām var autentificēties pareizi.

Šī neatkarība ir noderīga un vienlaikus slazds. Divi DNS vārdi, kas izšķiras uz vienu parastu klausītāju, neizvēlas dažādas VPN aizmugures, un sertifikāts, kas nosauc vienu identitāti, neapmierinās partneri, kas gaida citu. Pirms pieņemat, ka to nosaka vien adrese, apstipriniet, ko partneris validē.

Pieņemiet projektu, novērojot vienu savienojumu

Pārbaudiet, kur tiešām tiek piegādāts jauns autorizēts savienojums, kura identitāte atbild un kura privātā plūsma pēc tam tiek atļauta. Trīs novērojumi, trīs dažādi slāņi, un veiksmīga publiska adreses uzmeklēšana nepārbauda nevienu no tiem.

Saglabājiet arī negatīvo gadījumu: partneri, kuru nevajadzētu pieņemt, vai iekšējo prefiksu, kuram nevajadzētu būt sasniedzamam, pārbaudītu pēc izmaiņām. Sākumā uzrakstītais ieraksts ir tas, kas padara šo testu iespējamu, neatjaunojot projektu no atmiņas.

Tā visa jēga ir ļaut tīkla īpašniekam izvēlēties atbalstītu piešķiršanas metodi, nevis paļauties uz vispārīgu apgalvojumu par to, ko katra ugunsmūra spēj izdarīt ar papildu adresi. Tieši šis apgalvojums ir vieta, kur šie projekti nogāžas, jo tas izklausās ticami katrā platformā un kopumā nav patiess ne vienā. Četru rindu ieraksts to atrisina jūsu platformai desmit minūtēs.