Кое пакет треба да го погоди VPN политиката со два WAN?

Барањата VPN да се рутира преку втората нагорна врска опишуваат најмалку две различни задачи, и политиката што ја поправа едната не ја допира другата. Во првата задача шифрираниот транспорт меѓу два крајни точки се преместува на друга WAN адреса. Во втората дешифрираниот апликациски тек на поврзан корисник излегува кон друг следен скок. Двете се легитимни, двете користат рутирање, и секоја бара совпаѓање на пакет што постои во точката каде што се носи одлуката. Поминете ги проверките подолу по ред, бидејќи првата одредува кој пакет треба да го именуваат подоцнежните правила.

Именувајте ги двата разговори

Замислете далечен вработен поврзан со канцелариска порта, кој отвора HTTPS кон внатрешен апликациски сервер. На линијата има два независни разговори, и тие на секој крај имаат различни адреси. Надворешниот разговор се одвива меѓу двата VPN крајни точки: од адресата на портата до адресата на партнерот, со кој протокол и порта ги договорило распоредувањето. Внатрешниот разговор се одвива од адресата доделена на клиентот до адресата на апликацискиот сервер на портата 443.

Одредишната порта на апликацијата не е транспортната порта на VPN, и никакво количество политика на TCP 443 нема да го помести тунелот. Исто така, правило што ја пренасочува транспортната адреса на партнерот не кажува ништо за тоа каде оди HTTP барањето на тој корисник по дешифрирањето. Запишете ги двата разговори со нивните вистински адреси пред да допрете правило, бидејќи најголемиот дел од конфузијата во оваа област доаѓа од тоа што едниот се именува, а другиот се конфигурира.

Најдете каде вашата политика навистина го гледа пакетот

Совпаѓањето мора да се оценува во синџирот и именскиот простор каде пакетот сѐ уште е во формата што ја опишавте. Правило прикачено на LAN влезот го гледа внатрешниот пакет нешифриран, пред да биде рутиран кон тунелот. Правило применето на локално генериран сообраќај гледа пакети што ги создава самата порта, и тоа не го покрива автоматски сообраќајот што портата само го препраќа. Инкапсулираниот излез е повторно трет случај, обично се обработува на интерфејсот што го носи тунелот, а не на страната на LAN.

Затоа истиот конфигурациски фрагмент се однесува различно на две платформи: точките на прикачување се разликуваат, и куката за политика на производителот може да стои пред или по чекорот на шифрирање. Читајте ја патеката на пакетот за конкретниот производ наместо да го претпоставувате редоследот од дијаграм на друг производител.

Потврдете го транспортот што го договоривте

За IPsec инкапсулиран во UDP, RFC 3948 го става ESP внатре во UDP и користи ознака што не е ESP за да остане IKE различен на заедничката порта. Обичниот ESP е IP протокол, а не TCP или UDP порта, така што правило на огнено ѕид напишано по број на порта воопшто нема да го совпадне. Оваа разлика одредува дали на вашата WAN политика ѝ треба UDP правило, правило за протокол или и двете.

Договорените вредности победуваат над запаметените. Читајте ги тековните порти и адреси на асоцијацијата од уредот наместо да додавате TCP 4500 или стара порта на производителот за секој случај, што фаќа неврзан сообраќај и го крие вистинскиот проблем со класификацијата.

Проверете ја повратната патека пред да се обврзете

Успехот во излезната насока докажува половина од дизајнот. Пакет што се враќа кон базенот на далечни клиенти веќе не е видлив под адресата на клиентот штом инкапсулацијата ја замени: надворешната дестинација е транспортната адреса на партнерот. Ако втората нагорна врска стигне до тој партнер преку друг оператор, неговото преведување и филтрирање може да не се согласуваат со првото, и асоцијацијата можеби ќе треба да се изгради повторно наместо да се мигрира.

Состојбата на преведување на мрежните адреси е вообичаената жртва на промена на WAN. Забележете ја избраната нагорна врска, очекуваната надворешна изворна адреса, преведувањето во употреба и достапноста на партнерот назад кон неа, потоа држете го транспортот достапен без да го праќате во тунелот што го носи.

Проверете ги двата слоја со две снимки

Една снимка на WAN интерфејсот и една внатре во тунелот го решаваат прашањето побрзо од секое споредување конфигурации. Пуштете ги од портата додека одобрен клиент извршува едно барање, и зачувајте ги двата фајла.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Првата снимка треба да го покаже надворешниот разговор како го напушта интерфејсот што сте го имале на ум, со очекуваната изворна адреса. Втората треба да го покаже внатрешниот разговор еднаш, без дупликат, со адресата на клиентот како извор и апликацискиот сервер како дестинација. Пребарувањето на рута потврдува која табела би ја користел рутерот за тој пар извор и дестинација, и токму таму обично се појавува грешка во политиката. Ако некоја снимка не се појави, точката на одлука е некаде на друго место, а не таму каде што е прикачено правилото, и исправката припаѓа таму, а не на пошироко совпаѓање.