Кој всушност одговара на посветената адреса на VPN?

Адреса што стои неискористена во распределбата на организацијата не е слушател, и нејзиното додавање во заштитен ѕид не создава ниту еден. Нешто мора да го заврши IKE на таа адреса, а механизмот се разликува во зависност од тоа дали портата ја поседува адресата или ја преведува уред нагоре. Токму патеката на пакетот ги разликува двете, и таа одлучува која функција на платформата ви треба пред некој да отвори барање за промена. Прво моделирајте ја патеката, потоа изберете.

Патеката на пакетот зад адресата

Партнерот испраќа IKE до адресата што ја добил, на UDP 500 или на UDP 4500 кога е вклучено поминување низ NAT. Кој и да е уредот што ја држи таа адреса на патеката, тој или го прима датаграмот локално и одговара на него, или го препраќа на друго место. Тоа се единствените две можности, и сите други работи во овој текст произлегува од тоа која е вистинска.

Примање локално значи дека на тој уред постои сокет, врзан за таа адреса. Препраќање значи дека датаграмот се препишува и се праќа понатаму до друга крајна точка, која тогаш го има сокетот. Правило на заштитен ѕид што дозволува UDP 500 не ви кажува ништо за тоа кое од двете се случува.

Запишете го записот пред да допрете нешто: адресата со која партнерите се поврзуваат, како ја доставува горната мрежа, локалниот интерфејс или логичката крајна точка што ја прима, и процесот што одговара на IKE. Четири реда, и секој може да се провери. Кога еден од нив е непознат, тоа непознато е проектната работа, а не детаљ за реализација што ќе се реши подоцна. Нивното пополнување откако барањето за промена е одобрено е начинот на кој правило за превод завршува на погрешен уред.

Модел A: портата ја поседува адресата

Во првиот модел портата сама ја држи адресата, или како секундарна адреса на постоечки интерфејс, или како адреса на посветен интерфејс, или како loopback што платформата го поддржува како крајна точка на тунел. Тоа се три различни функции со три различни конфигурациски патеки, и платформа што поддржува една може да не ги поддржува другите.

Пред да проектирате околу тоа, потврдете дека платформата и изданието го поддржуваат точно тој распоред. Рутиран блок, дополнителна адреса на интерфејс и loopback крајна точка не се заменливи, а документацијата за едно издание не ветува дека следното ќе се однесува исто.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Слушачкиот сокет е доказот. Ако ништо не е врзано за адресата, портата не е завршница без оглед на тоа што вели табелата за рутирање, и снимањето пакети ќе покаже дека датаграмите пристигнуваат без ништо да им одговара.

Не ставајте втор интерфејс во подмрежа што веќе постои на друго место во топологијата и не претпоставувајте дека платформата ќе го реши тоа. Преклопувачките интерфејсни подмрежи создаваат двосмислен избор на извор и, на многу платформи, целосно одбивање на конфигурација.

Модел B: уред нагоре ја преведува

Во вториот модел заштитен ѕид нагоре ја држи посветената адреса и го препраќа сообраќајот кон друга VPN порта. Тоа е превод на одредиштето со повратна патека, и е сосема валиден проект додека е така документиран.

Она што не е, е доказ дека уредот нагоре добил локален VPN сокет. Преводот препраќа пакети; тој не ја прави горната кутија одговорен за IKE. Ако правилото нагоре се отстрани или неговата повратна патека се прекине, VPN-от запира иако портата е здрава и нејзините слушатели се недопрени.

Запишете ги двете адреси: онаа со која се поврзуваат партнерите и онаа што портата навистина ја гледа. Потоа запишете го транспортот и повратната патека, бидејќи превод што работи за UDP 500 но не за инкапсулиран ESP ќе се поврзе и потоа нема да може да носи сообраќај, што е збунувачка грешка за подоцнежно отстранување.

Идентитетот не е надворешната адреса

IPsec ја одделува крајната точка на тунелот од сообраќајот што го штити, а архитектурата ги држи тие одлуки на различни места. Промената на адресата со која се поврзуваат партнерите не менува автоматски кои внатрешни префикси се дозволени, кои рути се инсталираат или до кои ресурси сесијата може да стигне.

Автентифицираниот идентитет е повторно одделен. IKEv2 носи идентитетско полезно оптоварување и размена на автентикација што не мора да се совпаѓаат со надворешната адреса на пакетот, и токму затоа преведениот проект уште може правилно да се автентифицира.

Таа независност е корисна и истовремено стапица. Две DNS имиња што се разрешуваат на еден обичен слушател не избираат различни VPN заднини, а сертификат што именува еден идентитет нема да задоволи партнер што очекува друг. Потврдете што проверува партнерот пред да претпоставите дека само адресата го одлучува тоа.

Прифатете го проектот со набљудување на една врска

Проверете каде навистина се доставува нова овластена врска, кој идентитет одговара и кој приватен тек потоа е дозволен. Три набљудувања, три различни слоја, а успешното јавно пребарување на адресата не проверува ниту едно од нив.

Задржете го и негативниот случај: партнер што не треба да се прифати, или внатрешен префикс што не треба да биде достапен, проверени по промената. Записот што го напишавте на почетокот е она што го прави тој тест возможен без реконструкција на проектот од меморија.

Смислата на сето ова е да му се овозможи на сопственикот на мрежата да избере поддржан метод на распределба наместо да се потпира на општо тврдење за тоа што може секој заштитен ѕид со дополнителна адреса. Токму тоа тврдење е местото каде овие проекти грешат, бидејќи звучи уверливо на секоја платформа и воопшто не е точно на ниту една. Записот од четири реда го решава тоа за вашата платформа за десет минути.