ഇരട്ട WAN ഉള്ള VPN നയം ഏത് പാക്കറ്റുമായി പൊരുത്തപ്പെടണം?

VPN രണ്ടാം അപ്‌ലിങ്കിലൂടെ റൂട്ട് ചെയ്യണം എന്ന ആവശ്യങ്ങൾ കുറഞ്ഞത് രണ്ട് വ്യത്യസ്ത ജോലികളെ വിവരിക്കുന്നു, ഒന്ന് ശരിയാക്കുന്ന നയം മറ്റൊന്നിനെ തൊടുന്നില്ല. ആദ്യ ജോലിയിൽ രണ്ട് അറ്റങ്ങൾക്കിടയിലുള്ള എൻക്രിപ്റ്റ് ചെയ്ത ഗതാഗതം മറ്റൊരു WAN വിലാസത്തിലേക്ക് മാറുന്നു. രണ്ടാമത്തേതിൽ കണക്റ്റ് ചെയ്ത ഉപയോക്താവിന്റെ ഡീക്രിപ്റ്റ് ചെയ്ത ആപ്ലിക്കേഷൻ ഫ്ലോ മറ്റൊരു അടുത്ത ഹോപ്പിലേക്ക് പുറത്തുപോകുന്നു. രണ്ടും നിയമപരമാണ്, രണ്ടും റൂട്ടിംഗ് ഉപയോഗിക്കുന്നു, ഓരോന്നിനും തീരുമാനം എടുക്കുന്ന സ്ഥലത്ത് നിലവിലുള്ള ഒരു പാക്കറ്റിൽ പൊരുത്തം വേണം. താഴെയുള്ള പരിശോധനകൾ ക്രമത്തിൽ ചെയ്യുക, ഒന്നാമത്തേതാണ് പിന്നീടുള്ള നിയമങ്ങൾ ഏത് പാക്കറ്റിനെ പേരെടുത്തു പറയണം എന്ന് നിർണ്ണയിക്കുന്നത്.

രണ്ട് സംഭാഷണങ്ങൾക്ക് പേര് നൽകുക

ഓഫീസ് ഗേറ്റ്‌വേയിൽ ബന്ധിപ്പിച്ച ഒരു ദൂരസ്ഥ ജീവനക്കാരൻ ആന്തരിക ആപ്ലിക്കേഷൻ സർവറിലേക്ക് HTTPS തുറക്കുന്നത് സങ്കൽപ്പിക്കുക. വയറിൽ രണ്ട് സ്വതന്ത്ര സംഭാഷണങ്ങളുണ്ട്, ഓരോ അറ്റത്തും അവയ്ക്ക് വ്യത്യസ്ത വിലാസങ്ങളാണ്. പുറം സംഭാഷണം രണ്ട് VPN അറ്റങ്ങൾക്കിടയിൽ നടക്കുന്നു: ഗേറ്റ്‌വേ വിലാസത്തിൽ നിന്ന് പിയർ വിലാസത്തിലേക്ക്, വിന്യാസം യോജിച്ച പ്രോട്ടോക്കോളിലും പോർട്ടിലും. ആന്തരിക സംഭാഷണം ക്ലയന്റിന് നൽകിയ വിലാസത്തിൽ നിന്ന് 443 പോർട്ടിലെ ആപ്ലിക്കേഷൻ സർവർ വിലാസത്തിലേക്ക് നടക്കുന്നു.

ആപ്ലിക്കേഷന്റെ ലക്ഷ്യ പോർട്ട് VPN യുടെ ഗതാഗത പോർട്ടല്ല, TCP 443 ൽ എത്ര നയമുണ്ടെങ്കിലും ടണൽ ചലിക്കില്ല. അതുപോലെ, പിയറിന്റെ ഗതാഗത വിലാസം റീഡയറക്‌ട് ചെയ്യുന്ന നിയമം ആ ഉപയോക്താവിന്റെ HTTP അഭ്യർത്ഥന ഡീക്രിപ്ഷന് ശേഷം എവിടെ പോകുന്നു എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. നിയമം തൊടുന്നതിന് മുമ്പ് രണ്ട് സംഭാഷണങ്ങളും അവയുടെ യഥാർത്ഥ വിലാസങ്ങളോടെ എഴുതുക, കാരണം ഈ മേഖലയിലെ മിക്ക ആശയക്കുഴപ്പവും ഒന്നിന് പേരിട്ട് മറ്റൊന്ന് കോൺഫിഗർ ചെയ്യുന്നതിൽ നിന്നാണ്.

നിങ്ങളുടെ നയത്തിന് പാക്കറ്റ് യഥാർത്ഥത്തിൽ എവിടെ കാണാൻ കഴിയുമെന്ന് കണ്ടെത്തുക

പാക്കറ്റ് ഇപ്പോഴും നിങ്ങൾ വിവരിച്ച രൂപത്തിലുള്ള ചെയിനിലും നെയിംസ്‌പേസിലും പൊരുത്തം വിലയിരുത്തണം. LAN ഇൻഗ്രസ്സിൽ ഘടിപ്പിച്ച നിയമം ആന്തരിക പാക്കറ്റ് എൻക്രിപ്ഷൻ ഇല്ലാതെ, ടണലിലേക്ക് റൂട്ട് ചെയ്യുന്നതിന് മുമ്പ് കാണുന്നു. പ്രാദേശികമായി ഉത്പാദിപ്പിക്കുന്ന ട്രാഫിക്കിൽ പ്രയോഗിക്കുന്ന നിയമം ഗേറ്റ്‌വേ തന്നെ സൃഷ്ടിക്കുന്ന പാക്കറ്റുകൾ കാണുന്നു, അത് ഗേറ്റ്‌വേ വെറുതെ കൈമാറുന്ന ട്രാഫിക്കിനെ സ്വയമേവ ഉൾക്കൊള്ളുന്നില്ല. എൻകാപ്സുലേറ്റ് ചെയ്ത ഔട്ട്‌പുട്ട് വീണ്ടും മൂന്നാമത്തെ കേസാണ്, സാധാരണയായി LAN വശത്തല്ല, ടണൽ വഹിക്കുന്ന ഇന്റർഫേസിലാണ് കൈകാര്യം ചെയ്യുന്നത്.

അതുകൊണ്ടാണ് ഒരേ കോൺഫിഗറേഷൻ ശകലം രണ്ട് പ്ലാറ്റ്‌ഫോമുകളിൽ വ്യത്യസ്തമായി പെരുമാറുന്നത്: അറ്റാച്ച്മെന്റ് പോയിന്റുകൾ വ്യത്യസ്തമാണ്, വെണ്ടർ നയ ഹുക്ക് എൻക്രിപ്ഷൻ ഘട്ടത്തിന് മുമ്പോ ശേഷമോ ആകാം. മറ്റൊരു വെണ്ടറുടെ ഡയഗ്രാമിൽ നിന്ന് ക്രമം അനുമാനിക്കുന്നതിന് പകരം പ്രത്യേക ഉൽപ്പന്നത്തിനായുള്ള പാക്കറ്റ് പാത വായിക്കുക.

നിങ്ങൾ യോജിച്ച ഗതാഗതം സ്ഥിരീകരിക്കുക

UDP യിൽ എൻകാപ്സുലേറ്റ് ചെയ്ത IPsec ന്, RFC 3948 ESP യെ UDP യുടെ ഉള്ളിൽ വയ്ക്കുന്നു, പങ്കിട്ട പോർട്ടിൽ IKE വേർതിരിച്ചറിയാൻ കഴിയാൻ ESP അല്ലാത്ത അടയാളം ഉപയോഗിക്കുന്നു. സാധാരണ ESP ഒരു IP പ്രോട്ടോക്കോളാണ്, TCP അല്ലെങ്കിൽ UDP പോർട്ടല്ല, അതിനാൽ പോർട്ട് നമ്പറിനെതിരെ എഴുതിയ ഫയർവാൾ നിയമം അതിനോട് ഒട്ടും പൊരുത്തപ്പെടില്ല. ഈ വ്യത്യാസമാണ് നിങ്ങളുടെ WAN നയത്തിന് UDP നിയമം, പ്രോട്ടോക്കോൾ നിയമം അല്ലെങ്കിൽ രണ്ടും വേണോ എന്ന് തീരുമാനിക്കുന്നത്.

യോജിച്ച മൂല്യങ്ങൾ ഓർത്തുവച്ചവയെ തോൽപ്പിക്കുന്നു. ഉപകരണത്തിൽ നിന്ന് അസോസിയേഷന്റെ നിലവിലെ പോർട്ടുകളും വിലാസങ്ങളും വായിക്കുക, സുരക്ഷയ്ക്കായി TCP 4500 അല്ലെങ്കിൽ പഴയ വെണ്ടർ പോർട്ട് ചേർക്കുന്നതിന് പകരം, അത് അസംബന്ധ ട്രാഫിക് പിടിച്ച് യഥാർത്ഥ വർഗ്ഗീകരണ പ്രശ്നം മറയ്ക്കുന്നു.

പ്രതിജ്ഞാബദ്ധരാകുന്നതിന് മുമ്പ് തിരിച്ചുള്ള പാത പരിശോധിക്കുക

പുറത്തേക്കുള്ള വിജയം ഒരു രൂപകൽപ്പനയുടെ പകുതി മാത്രം തെളിയിക്കുന്നു. വിദൂര ക്ലയന്റ് പൂളിലേക്ക് തിരികെ വരുന്ന പാക്കറ്റ് എൻകാപ്സുലേഷൻ അതിനെ മാറ്റിസ്ഥാപിക്കുമ്പോൾ ക്ലയന്റ് വിലാസത്തിന് കീഴിൽ ഇനി കാണില്ല: പുറം ലക്ഷ്യം പിയറിന്റെ ഗതാഗത വിലാസമാണ്. രണ്ടാം അപ്‌ലിങ്ക് ആ പിയറിലേക്ക് മറ്റൊരു കാരിയർ വഴി എത്തുന്നുവെങ്കിൽ, അതിന്റെ വിവർത്തനവും ഫിൽട്ടറിംഗും ആദ്യത്തേതുമായി യോജിക്കണമെന്നില്ല, അസോസിയേഷൻ മാറ്റിസ്ഥാപിക്കുന്നതിന് പകരം പുനർനിർമ്മിക്കേണ്ടി വന്നേക്കാം.

നെറ്റ്‌വർക്ക് വിലാസ വിവർത്തനത്തിന്റെ അവസ്ഥ WAN മാറ്റത്തിന്റെ സാധാരണ ഇരയാണ്. തിരഞ്ഞെടുത്ത അപ്‌ലിങ്ക്, പ്രതീക്ഷിക്കുന്ന പുറം ഉറവിട വിലാസം, ഉപയോഗത്തിലുള്ള വിവർത്തനം, പിയറിന്റെ അതിലേക്കുള്ള എത്തിച്ചേരൽ എന്നിവ രേഖപ്പെടുത്തി, പിന്നീട് ഗതാഗതം അത് വഹിക്കുന്ന ടണലിലേക്ക് അയക്കാതെ എത്താവുന്നതായി നിലനിർത്തുക.

രണ്ട് ക്യാപ്ചറുകൾ ഉപയോഗിച്ച് രണ്ട് പാളികളും പരിശോധിക്കുക

WAN ഇന്റർഫേസിലെ ഒരു ക്യാപ്ചറും ടണലിനുള്ളിലെ ഒരു ക്യാപ്ചറും ഏതൊരു കോൺഫിഗറേഷൻ താരതമ്യത്തേക്കാളും വേഗത്തിൽ ചോദ്യം തീർക്കുന്നു. അംഗീകരിച്ച ക്ലയന്റ് ഒരു അഭ്യർത്ഥന മാത്രം നടത്തുമ്പോൾ അവ ഗേറ്റ്‌വേയിൽ നിന്ന് പ്രവർത്തിപ്പിക്കുക, രണ്ട് ഫയലുകളും സൂക്ഷിക്കുക.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

ആദ്യ ക്യാപ്ചർ പുറം സംഭാഷണം നിങ്ങൾ ഉദ്ദേശിച്ച ഇന്റർഫേസിൽ നിന്ന് പ്രതീക്ഷിച്ച ഉറവിട വിലാസത്തോടെ പുറത്തുപോകുന്നത് കാണിക്കണം. രണ്ടാമത്തേത് ആന്തരിക സംഭാഷണം ഒരിക്കൽ മാത്രം, ആവർത്തനമില്ലാതെ, ക്ലയന്റ് വിലാസം ഉറവിടമായും ആപ്ലിക്കേഷൻ സർവർ ലക്ഷ്യമായും കാണിക്കണം. റൂട്ട് തിരയൽ ആ ഉറവിട-ലക്ഷ്യ ജോഡിക്ക് റൂട്ടർ ഏത് പട്ടിക ഉപയോഗിക്കുമെന്ന് സ്ഥിരീകരിക്കുന്നു, നയത്തിന്റെ തെറ്റ് സാധാരണയായി അവിടെയാണ് പ്രത്യക്ഷപ്പെടുന്നത്. ഏതെങ്കിലും ക്യാപ്ചർ പ്രത്യക്ഷപ്പെടുന്നില്ലെങ്കിൽ, തീരുമാന പോയിന്റ് നിയമം ഘടിപ്പിച്ച സ്ഥലത്തല്ല, മറ്റെവിടെയോ ആണ്, തിരുത്തൽ വിശാലമായ പൊരുത്തത്തിലല്ല, അവിടെയാണ് വേണ്ടത്.