VPN-ന്റെ സമർപ്പിത വിലാസത്തിൽ യഥാർത്ഥത്തിൽ ആരാണ് മറുപടി നൽകുന്നത്?

സംഘടനയുടെ അനുവദത്തിൽ ഉപയോഗിക്കാതെ കിടക്കുന്ന ഒരു വിലാസം ശ്രോതാവല്ല, അത് ഫയർവാളിൽ ചേർക്കുന്നത് ഒരെണ്ണം സൃഷ്ടിക്കുന്നുമില്ല. ആ വിലാസത്തിൽ IKE അവസാനിപ്പിക്കാൻ എന്തെങ്കിലും വേണം, ഗേറ്റ്‌വേയാണോ വിലാസം കൈവശം വയ്ക്കുന്നത് അതോ അപ്സ്ട്രീം ഉപകരണം അത് വിവർത്തനം ചെയ്യുന്നുണ്ടോ എന്നതനുസരിച്ച് സംവിധാനം വ്യത്യാസപ്പെടുന്നു. പാക്കറ്റിന്റെ പാതയാണ് രണ്ടിനെയും വേർതിരിക്കുന്നത്, ആരെങ്കിലും മാറ്റ അഭ്യർത്ഥന തുറക്കുന്നതിന് മുമ്പ് ഏത് പ്ലാറ്റ്‌ഫോം സവിശേഷത വേണമെന്നും അത് തന്നെ തീരുമാനിക്കുന്നു. ആദ്യം പാത മാതൃകയാക്കുക, പിന്നീട് തിരഞ്ഞെടുക്കുക.

വിലാസത്തിന് പിന്നിലെ പാക്കറ്റ് പാത

പിയർ തനിക്ക് നൽകിയ വിലാസത്തിലേക്ക് IKE അയയ്ക്കുന്നു, UDP 500-ൽ അല്ലെങ്കിൽ NAT ട്രാവേഴ്സൽ ഉൾപ്പെടുമ്പോൾ UDP 4500-ൽ. പാതയിൽ ആ വിലാസം കൈവശം വയ്ക്കുന്ന ഏത് ഉപകരണവും ഡാറ്റാഗ്രാം പ്രാദേശികമായി സ്വീകരിച്ച് മറുപടി നൽകുന്നു, അല്ലെങ്കിൽ അത് മറ്റൊരിടത്തേക്ക് കൈമാറുന്നു. ഇവ രണ്ട് സാധ്യതകൾ മാത്രമാണ്, ഈ ലേഖനത്തിലെ ബാക്കിയെല്ലാം അവയിൽ ഏതാണ് സത്യം എന്നതിൽ നിന്ന് ഉരുത്തിരിയുന്നു.

പ്രാദേശികമായി സ്വീകരിക്കുക എന്നത് ആ ഉപകരണത്തിൽ ആ വിലാസത്തോട് ബന്ധിച്ച ഒരു സോക്കറ്റ് ഉണ്ടെന്നാണ്. കൈമാറ്റം എന്നത് ഡാറ്റാഗ്രാം വീണ്ടും എഴുതി മറ്റൊരു അന്ത്യബിന്ദുവിലേക്ക് അയയ്ക്കുന്നു എന്നാണ്, അപ്പോൾ സോക്കറ്റ് അവിടെയായിരിക്കും. UDP 500 അനുവദിക്കുന്ന ഫയർവാൾ നിയമം ഇവയിൽ ഏതാണ് നടക്കുന്നത് എന്ന് നിങ്ങളോട് പറയുന്നില്ല.

എന്തെങ്കിലും തൊടുന്നതിന് മുമ്പ് രേഖ എഴുതുക: പിയറുകൾ ബന്ധപ്പെടുന്ന വിലാസം, അപ്സ്ട്രീം നെറ്റ്‌വർക്ക് അത് എങ്ങനെ എത്തിക്കുന്നു, അത് സ്വീകരിക്കുന്ന പ്രാദേശിക ഇന്റർഫേസ് അല്ലെങ്കിൽ ലോജിക്കൽ അന്ത്യബിന്ദു, IKE-യ്ക്ക് മറുപടി നൽകുന്ന പ്രോസസ്. നാല് വരികൾ, ഓരോന്നും പരിശോധിക്കാനാകും. അവയിലൊന്ന് അജ്ഞാതമാണെങ്കിൽ, ആ അജ്ഞാതതയാണ് ഡിസൈൻ ജോലി, പിന്നീട് തീർക്കേണ്ട നടപ്പാക്കൽ വിശദാംശമല്ല. മാറ്റ അഭ്യർത്ഥന അംഗീകരിച്ചതിന് ശേഷം അവ പൂരിപ്പിക്കുന്നതാണ് വിവർത്തന നിയമം തെറ്റായ ഉപകരണത്തിൽ ചേരുന്ന വഴി.

മാതൃക A: ഗേറ്റ്‌വേ വിലാസം കൈവശം വയ്ക്കുന്നു

ആദ്യ മാതൃകയിൽ ഗേറ്റ്‌വേ തന്നെ വിലാസം കൈവശം വയ്ക്കുന്നു, നിലവിലുള്ള ഇന്റർഫേസിലെ ദ്വിതീയ വിലാസമായി, സമർപ്പിത ഇന്റർഫേസിലെ വിലാസമായി, അല്ലെങ്കിൽ പ്ലാറ്റ്‌ഫോം ടണൽ അന്ത്യബിന്ദുവായി പിന്തുണയ്ക്കുന്ന loopback ആയി. ഇവ വ്യത്യസ്ത കോൺഫിഗറേഷൻ പാതകളുള്ള മൂന്ന് വ്യത്യസ്ത സവിശേഷതകളാണ്, ഒന്ന് പിന്തുണയ്ക്കുന്ന പ്ലാറ്റ്‌ഫോം മറ്റുള്ളവയെ പിന്തുണയ്ക്കണമെന്നില്ല.

അതിനെ ആധാരമാക്കി ഡിസൈൻ ചെയ്യുന്നതിന് മുമ്പ് പ്ലാറ്റ്‌ഫോമും റിലീസും കൃത്യമായി ഈ ക്രമീകരണം പിന്തുണയ്ക്കുന്നുവെന്ന് ഉറപ്പാക്കുക. റൂട്ട് ചെയ്ത ബ്ലോക്ക്, ഇന്റർഫേസിലെ അധിക വിലാസം, loopback അന്ത്യബിന്ദു എന്നിവ പരസ്പരം മാറ്റാനാവില്ല, ഒരു റിലീസിന്റെ ഡോക്യുമെന്റേഷൻ അടുത്തത് അതേപോലെ പ്രവർത്തിക്കുമെന്ന് വാഗ്ദാനം ചെയ്യുന്നുമില്ല.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

കേൾക്കുന്ന സോക്കറ്റാണ് തെളിവ്. വിലാസത്തോട് ഒന്നും ബന്ധിച്ചിട്ടില്ലെങ്കിൽ, റൂട്ടിംഗ് ടേബിൾ എന്ത് പറഞ്ഞാലും ഗേറ്റ്‌വേ അവസാനിപ്പിക്കുന്നവനല്ല, പാക്കറ്റ് പിടിത്തം ഡാറ്റാഗ്രാമുകൾ വരുന്നതും അവയ്ക്ക് മറുപടി നൽകാൻ ആരുമില്ലെന്നും കാണിക്കും.

ടോപ്പോളജിയിൽ മറ്റെവിടെയോ നിലവിലുള്ള ഒരു സബ്നെറ്റിൽ രണ്ടാം ഇന്റർഫേസ് ഇടരുത്, പ്ലാറ്റ്‌ഫോം അത് ശരിയാക്കുമെന്ന് കരുതരുത്. ഓവർലാപ്പ് ചെയ്യുന്ന ഇന്റർഫേസ് സബ്നെറ്റുകൾ അവ്യക്തമായ സ്രോതസ്സ് തിരഞ്ഞെടുപ്പ് ഉണ്ടാക്കുന്നു, പല പ്ലാറ്റ്‌ഫോമുകളിലും കോൺഫിഗർ ചെയ്യാൻ പൂർണ്ണമായി വിസമ്മതിക്കുന്നു.

മാതൃക B: അപ്സ്ട്രീം ഉപകരണം അത് വിവർത്തനം ചെയ്യുന്നു

രണ്ടാം മാതൃകയിൽ അപ്സ്ട്രീം ഫയർവാൾ സമർപ്പിത വിലാസം കൈവശം വയ്ക്കുന്നു, ട്രാഫിക് മറ്റൊരു VPN ഗേറ്റ്‌വേയിലേക്ക് കൈമാറുന്നു. അത് മടങ്ങിവരവ് പാതയുള്ള ലക്ഷ്യ വിവർത്തനമാണ്, അതുപോലെ രേഖപ്പെടുത്തിയിരിക്കുന്നിടത്തോളം പൂർണ്ണമായി സാധുവായ ഡിസൈനാണ്.

അത് ഏതല്ല എന്നാൽ, അപ്സ്ട്രീം ഉപകരണം പ്രാദേശിക VPN സോക്കറ്റ് നേടി എന്നതിനുള്ള തെളിവല്ല. വിവർത്തനം പാക്കറ്റുകൾ കൈമാറുന്നു; അത് മുകളിലെ പെട്ടിയെ IKE മറുപടി നൽകുന്നവനാക്കുന്നില്ല. അപ്സ്ട്രീം നിയമം നീക്കിയാലോ അതിന്റെ മടങ്ങിവരവ് പാത മുറിഞ്ഞാലോ, ഗേറ്റ്‌വേ ആരോഗ്യവാനും അതിന്റെ സ്വന്തം ശ്രോതാക്കൾ കേടുപാടില്ലാതെയും ആണെങ്കിലും VPN നിലയ്ക്കുന്നു.

രണ്ട് വിലാസങ്ങളും രേഖപ്പെടുത്തുക: പിയറുകൾ ബന്ധപ്പെടുന്നതും ഗേറ്റ്‌വേ യഥാർത്ഥത്തിൽ കാണുന്നതും. തുടർന്ന് ഗതാഗതവും മടങ്ങിവരവ് പാതയും രേഖപ്പെടുത്തുക, കാരണം UDP 500-ന് പ്രവർത്തിക്കുന്നുവെങ്കിലും എൻകാപ്സുലേറ്റ് ചെയ്ത ESP-ന് പ്രവർത്തിക്കാത്ത വിവർത്തനം ബന്ധിപ്പിക്കുകയും പിന്നീട് ട്രാഫിക് വഹിക്കാൻ പരാജയപ്പെടുകയും ചെയ്യും, ഇത് പിന്നീട് ഡീബഗ് ചെയ്യാൻ ആശയക്കുഴപ്പമുള്ള പരാജയമാണ്.

ഐഡന്റിറ്റി പുറം വിലാസമല്ല

IPsec ടണൽ അന്ത്യബിന്ദുവിനെ അത് സംരക്ഷിക്കുന്ന ട്രാഫിക്കിൽ നിന്ന് വേർതിരിക്കുന്നു, ആർക്കിടെക്ചർ ആ തീരുമാനങ്ങൾ വ്യത്യസ്ത സ്ഥലങ്ങളിൽ സൂക്ഷിക്കുന്നു. പിയറുകൾ ബന്ധപ്പെടുന്ന വിലാസം മാറ്റുന്നത് ഏത് ആന്തരിക പ്രിഫിക്സുകൾ അനുവദിക്കുന്നു, ഏത് റൂട്ടുകൾ ഇൻസ്റ്റാൾ ചെയ്യുന്നു, സെഷൻ ഏത് വിഭവങ്ങളിലേക്ക് എത്താം എന്നിവ സ്വയമേവ മാറ്റുന്നില്ല.

പ്രാമാണീകരിച്ച ഐഡന്റിറ്റി വീണ്ടും വേറിട്ടതാണ്. IKEv2 പുറം പാക്കറ്റ് വിലാസവുമായി പൊരുത്തപ്പെടേണ്ടതില്ലാത്ത ഐഡന്റിറ്റി പേലോഡും പ്രാമാണീകരണ കൈമാറ്റവും വഹിക്കുന്നു, അതുകൊണ്ടാണ് വിവർത്തനം ചെയ്ത ഡിസൈനും ഇപ്പോഴും ശരിയായി പ്രാമാണീകരിക്കാൻ കഴിയുന്നത്.

ആ സ്വാതന്ത്ര്യം ഉപയോഗപ്രദവും അതേസമയം കെണിയുമാണ്. ഒരു സാധാരണ ശ്രോതാവിലേക്ക് പരിഹരിക്കുന്ന രണ്ട് DNS പേരുകൾ വ്യത്യസ്ത VPN ബാക്ക്എൻഡുകൾ തിരഞ്ഞെടുക്കുന്നില്ല, ഒരു ഐഡന്റിറ്റി പേരിടുന്ന സർട്ടിഫിക്കറ്റ് മറ്റൊന്ന് പ്രതീക്ഷിക്കുന്ന പിയറിനെ തൃപ്തിപ്പെടുത്തില്ല. വിലാസം മാത്രം അത് തീരുമാനിക്കുന്നു എന്ന് കരുതുന്നതിന് മുമ്പ് പിയർ എന്ത് സാധൂകരിക്കുന്നു എന്ന് ഉറപ്പാക്കുക.

ഒരു കണക്ഷൻ നിരീക്ഷിച്ച് ഡിസൈൻ സ്വീകരിക്കുക

പുതിയ അനുവദിച്ച കണക്ഷൻ യഥാർത്ഥത്തിൽ എവിടെ എത്തിക്കുന്നു, ഏത് ഐഡന്റിറ്റി മറുപടി നൽകുന്നു, പിന്നീട് ഏത് സ്വകാര്യ പ്രവാഹം അനുവദിക്കുന്നു എന്ന് പരിശോധിക്കുക. മൂന്ന് നിരീക്ഷണങ്ങൾ, മൂന്ന് വ്യത്യസ്ത പാളികൾ, വിലാസത്തിന്റെ വിജയകരമായ പൊതു തിരയൽ അവയിലൊന്നും പരീക്ഷിക്കുന്നില്ല.

നെഗറ്റീവ് കേസും സൂക്ഷിക്കുക: സ്വീകരിക്കരുതാത്ത പിയർ, അല്ലെങ്കിൽ എത്തിച്ചേരരുതാത്ത ആന്തരിക പ്രിഫിക്സ്, മാറ്റത്തിന് ശേഷം പരിശോധിച്ചത്. തുടക്കത്തിൽ എഴുതിയ രേഖയാണ് ഡിസൈൻ ഓർമ്മയിൽ നിന്ന് പുനർനിർമ്മിക്കാതെ ആ പരീക്ഷണം സാധ്യമാക്കുന്നത്.

ഇതെല്ലാം കൊണ്ട് ഉദ്ദേശിക്കുന്നത്, ഓരോ ഫയർവാളും ഒരു അധിക വിലാസത്തോട് എന്ത് ചെയ്യാം എന്ന പൊതുവായ വാദത്തെ ആശ്രയിക്കുന്നതിന് പകരം നെറ്റ്‌വർക്ക് ഉടമയ്ക്ക് പിന്തുണയുള്ള അനുവദന രീതി തിരഞ്ഞെടുക്കാൻ അനുവദിക്കുകയാണ്. ആ വാദമാണ് ഈ ഡിസൈനുകൾ പിഴച്ചുപോകുന്ന സ്ഥലം, കാരണം അത് എല്ലാ പ്ലാറ്റ്‌ഫോമിലും വിശ്വസനീയമായി തോന്നുന്നു, പൊതുവായി ഒന്നിലും സത്യമല്ല. നാല് വരിയുള്ള രേഖ അത് നിങ്ങളുടെ പ്ലാറ്റ്‌ഫോമിനായി പത്ത് മിനിറ്റിൽ തീർപ്പാക്കുന്നു.