Два VPN скока по ред: кој навистина го гледа вашиот сообраќај?

Секој профил на клиент именува еден сервер, па од местото на корисникот има еден тунел и едно место каде заштитата завршува. Што се случува по таа прва порта е дизајнерска одлука што клиентот никогаш не ја гледа, и двата вообичаени дизајни се однесуваат многу различно при проверка. Во сериски синџир првата порта дешифрира и повторно шифрира. Во вгнезден синџир ја отстранува надворешната обвивка и препраќа внатрешен тунел што не може да го отвори. Бројот на скокови е ист во двете, затоа разликата треба да се нацрта, а не да се брои.

Започнете од клиентот и именувајте ги двата краја

Започнете таму каде што започнува корисникот, во профилот за врска. Тој содржи една далечна адреса, еден метод за автентикација и, кога дизајнот го поддржува, список на маршрути. Означете го тој надворешен тунел од клиентот до портата A и дајте му примерни адреси: адресата на тунелот на клиентот 10.77.0.2, адресата на A 10.77.0.1 и јавната крајна точка на A 198.51.100.10, земени од документацискиот опсег TEST-NET-2 за ништо во примерот да не се судри со вистински домаќин.

Ништо во тој профил не ја спомнува портата B, и тоа не е дефект. Вториот скок ѝ припаѓа на A, а единствената обврска на клиентот е да го достави сообраќајот до A и да го прифати она што се враќа. Дали A го завршува тунелот, го препраќа или отвора нов е прашањето на кое одговара остатокот од овој преглед, и тоа одлучува што A може да чита.

Сериски: A дешифрира, потоа повторно шифрира

Во серискиот дизајн A го завршува сообраќајот двапати. Ја отстранува заштитата од клиентот, го добива IP пакетот на апликацијата и потоа го испраќа тој пакет низ втор тунел што A го создава кон B. Помеѓу тие две операции пакетот стои во патеката за препраќање на A како обичен IP пакет адресиран до приватно одредиште.

Тоа дава две последици што вреди да се кажат директно. A може да примени политика на внатрешниот пакет, во форма на маршрути, филтер правила и евидентирање на изворот и одредиштето, и A мора да држи два сета акредитиви: еден како сервер за клиентот и еден како клиент на B. Заштитата постои во секој миг, но заштитениот објект ја менува идентичноста кај A.

Од тоа не следува дека A го чита отворениот текст на апликацијата. Кога клиентот и услугата работат TLS и ги проверуваат сертификатите еден на друг, A гледа тек на TLS записи, а не читливо барање. Потврдувањето каде завршува таа заштита бара поглед на синџирот сертификати на услугата, а не на шемата на тунелот.

Вгнездено: A ја отстранува само надворешната обвивка

Во вгнездениот дизајн клиентот најпрво гради внатрешен тунел кон B и потоа го носи тој тунел внатре во надворешниот до A. A ја симнува надворешната глава, наоѓа внатрешен тунел и го препраќа без да ги држи неговите клучеви, така што внатрешната заштита се уште завршува кај B.

Тогаш нагорната врска на клиентот носи два слоја, додека патеката меѓу A и B носи еден. A ги гледа надворешните адреси на внатрешниот тунел, што е доволно за да се знае дека има сообраќај и приближно каде оди, и не е доволно за да се прочита товарот. Тоа е целата разлика од серискиот случај, и ниту еден бројач на скокови не ја покажува. Она што A се уште може да го направи е да одбие да препрати она што не може да го прочита, и тоа секогаш му е достапно на операторот на таа порта.

Вгнездувањето го плаќа тоа својство. Секој слој додава трошок за глава, па планирањето на MTU и MSS станува задолжително, а не само уредно, и патека што работи со еден слој може тивко да губи големи пакети со два. Секој слој бара и свое однесување за повторно поврзување и одржување, а дефект во еден слој изгледа како делумно прекинување низ другиот.

Нацртајте ги набљудувачите, не само тунелите

Тунелите се лесниот дел од цртежот. Набљудувачите се она за што е дизајнот, затоа напишете еден ред за секое гледиште и пополнете што секој навистина може да прочита.

Два реда постојано се мешаат: операторот на A и давателот на тунелот на клиентот. Тие можат да бидат еден субјект, а одделните имиња на портите не ги прават независни. Независната сопственост бара одделна административна контрола, одделни акредитиви и одделно евидентирање.

Метаподатоците преживуваат во двата дизајна. Времето, големините на пакетите и бројот на врски остануваат забележливи на секој скок, па два скока ја зголемуваат цената на корелацијата наместо да го отстранат сигналот. Дизајн што ветува невидливост треба да се провери против тој список пред некој да се потпре на него.

Поминете ги патеките на дефект пред да изберете

Кршете работи намерно од клиентот, по редоследот по кој корисникот би ги сретнал. Започнете со интерфејсот и неговиот MTU, бидејќи вгнездувањето паѓа на големината на пакетот многу порано отколку на автентикацијата.

ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1

Потоа потврдете ги крајните точки на заштита наместо да ги претпоставувате. Побарајте од услугата нејзиниот сертификат од внатрешноста на кој и да е активен тунел, и споредете го синџирот што клиентот го гледа со синџирот што услугата навистина го претставува. Порта што повторно потпишува или пресретнува го менува тој сертификат, и проверката станува видлива со една команда.

openssl s_client -connect intranet.example.com:443 -brief < /dev/null

Завршете со матрицата за повторно поврзување: тунелот на клиентот паѓа, тунелот на B паѓа, патеката меѓу A и B се менува. Забележете што се враќа, а што не, и дали внатрешна врска некогаш паѓа на маршрута надвор од својот предвиден носител. Запишете ги адресите што ги користел секој тест, бидејќи повторувањето на друга пристапна мрежа одговара на друго прашање. Повторете ја и проверката на MTU по секое повторно поврзување, бидејќи изменета патека може да ја намали употребливата големина без ниту еден конфигурациски ред да се помести.

Изберете сериски кога A мора да примени политика на внатрешниот пакет, или кога клиентот не може да работи два наредени тунели. Изберете вгнездување кога внатрешниот товар мора да остане нечитлив кај A. Запишете го изборот со неговите набљудувачи и неговите бројки за MTU, и следниот човек нема да мора повторно да ја црта целата слика за да одговори на едно прашање.