Концентратор уу, гарц уу? VPN-ийн төгсгөл таны замд хаана байна

Хоёр нийлүүлэгч нэг төхөөрөмжийг концентратор ба гарц гэж нэрлэж болох бөгөөд тэдгээр үгсийн аль нь ч урсгал хаана тайлагдаж байгааг хэлэхгүй. Шошгууд нь протокол биш, байршуулалтын үүргийг тодорхойлдог бөгөөд үүргүүд бүх чиглэлд давхцдаг. Дизайны хяналтад чухал нь туннелийг төгсгөдөг төхөөрөмж, түүний эргэн тойрны хяналт, тайлагдсан хүсэлт явах зам юм. Эдгээр гурваас шийдээрэй, тэгвэл мэдээллийн хуудасны нэр томьёо маргаан байхаа болино.

Хоёр шошго, нэг шийдвэр

Концентратор нь ихэвчлэн олон холболтыг нэгэн зэрэг хүлээн авч удирддаг төв системийг илэрхийлдэг бөгөөд үг нь цар хүрээний ишлэл агуулдаг. Гарц нь туннелийг ард байгаа сүлжээтэй холбодог төгсгөлийн цэгийн илүү өргөн нэр томьёо бөгөөд маршрутлагч, галт хана эсвэл удирдлагатай үйлчилгээг тодорхойлж болно. Аль ч үг протоколыг нэрлэхгүй, аль нь ч тодорхой функцын багцыг амлахгүй. Нэг төхөөрөмжийг хоёр нийлүүлэгч хоёр нэрээр зарж болох тул нэр томьёоны маргаан хэзээ ч шийдэгддэггүй.

Шошгыг зорьсон хэрэглээний сануулга гэж үзээрэй, үүнээс илүүгүй. Шийдвэр нь тохиргоонд шалгаж болох функцуудад хамаарна, товхимолын үгсэд биш.

Туннелийг үнэхээр төгсгөж буй төхөөрөмжийг ол

Хэрэглэгчийн холболтыг гаднаас дотогш дага. Ямар нэгэн зүйл тээврийг хүлээн авч, ямар нэгэн зүйл түншийг танина, ямар нэгэн зүйл хэрэглэгчид хаяг өгч, ямар нэгэн зүйл очих газрыг зөвшөөрч, ямар нэгэн зүйл буцах замыг хангана. Эдгээр таван функц нэг төхөөрөмж дээр эсвэл тав дээр байж болох бөгөөд цорын ганц хэрэгтэй асуулт нь аль төхөөрөмж алийг нь хийдэг вэ. Дээд маршрутлагч гадаад пакетуудыг хэзээ ч тайлахгүйгээр зөөж болох бөгөөд топологийн диаграм хянагчийг буруу төхөөрөмжийг нэрлэхэд хүргэдэг нь яг ийм тохиолдол юм.

Төгсгөлийг нэр дэвшигч дээр нь баталзургаас биш. Хүлээгдэж буй порт дээр сонсож буй сокет болон тогтоогдсон төлөвийн бичлэг хамтдаа сүлжээний диаграмаас илүү хүчтэй нотолгоо бөгөөд хоёулаа байхгүй нь бүр ч хүчтэй.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Бүтээгдэхүүний нэрээр биш, таван шинжээр шийд

Таван шинж нэр дэвшигчдийг ялгадаг бөгөөд тус бүрд нь маркетингаас биш, баримт бичгээс хариулж болно. Энэ хувилбар ямар VPN үүргийг дэмждэг, ямар таних эх сурвалжийг ашиглаж болох, ямар дамжуулах хүрээг зөвшөөрдөг, ямар хүчин чадлыг даадаг, алдааны үед хэрхэн ажилладаг. Эдгээр тавыг бичгээр шаард, тэгвэл шошго шийдвэрт хамаагүй болно.

Хүчин чадал нь концентратор гэсэн шошго хамгийн хүчтэйгээр ишлэдэг шинж бөгөөд хамгийн их тодорхойгүй үлддэг. Зэрэгцээ байдлын хязгаар, туннель тус бүрийн дамжуулах чадвар, нийт дамжуулах чадвар нь гурван өөр тоо бөгөөд төхөөрөмж нэгэнд нь өгөөмөр, нөгөөд нь харамч байж болно. Өндөр бэлэн байдал нь хоёр төхөөрөмжийн биш, хосын шинж бөгөөд сэргээлтийн асуултад хамаарна. Цар хүрээг ишлэдэг шошго нь цар хүрээний үзүүлэлт биш.

Сэргээлт мөн адил ярианы хэсэг. Туннель өөрөө эвдэрсэн бүрэлдэхүүн байх үед администратор төхөөрөмжид хэрхэн хүрдэг талаар асуу, учир нь зурвасын гадна зам нь дизайны шийдвэр, дагалдах хэрэгсэл биш.

Шошгын өмнө нотолгоог шалга

Одоогийн үйлчилгээг дэмжигдсэн үүрэг, таних бодлого, дамжуулах хүрээ, хүчин чадал, сэргээлтийн зан төлөвөөр үнэлэх ёстой бөгөөд хариултууд нь таны байршуулах хувилбарт тусгай байх ёстой. Түүхэн тойм нь концентратор гэдэг үг яагаад байгааг тайлбарлаж болох ч одоогийн хувилбар юуг дэмждэгийг хэлж чадахгүй.Cisco VPN тоймяг энэ шалтгаанаар хэрэгтэй нэр томьёоны контекст бөгөөд үүнийг одоогийн функцын жагсаалт гэж үзэх нь дизайны хяналт буруу тийшээ явах зам юм.

Дараа нь нэг мэдэгдлийг эхнээс нь дуустал шалга. Хамгийн чухал шинжийг сонго, жишээ нь туннель тус бүрийн дамжуулах чадвар эсвэл шилжих хугацаа, тоо биш хэмжих аргыг асуу. Төхөөрөмж үнэхээр юу харуулж байгааг орон нутгийн хурдан шалгах нь үндэслэлтэй эхлэл.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

Linux-д эхний мөр аюулгүй байдлын холбоог тоолдог бөгөөд туннель ихэвчлэн хоёртой, чиглэл бүрт нэг, тиймээс туннелийн мэдэгдэлтэй харьцуулахын өмнө тоог хоёр хуваа. strongSwan хост дээр хоёр дахь мөр туннелүүдийг шууд нэрлэдэг. Сокет тоолох нь үүнийг орлохгүй: IPsec NAT-T бүх туннельд хуваалцдаг нэг UDP 4500 сокетийг хадгалдаг тул тэр порт дээр сокет тоолбол хэдэн туннель байсан ч тэг эсвэл нэг гарна. Аль ч мөр дамжуулах чадварын хэмжилт биш бөгөөд аль нь ч ачааллын үеийн зан төлөвийг урьдчилан хэлэхгүй. Тэд танд асуух нэгжийг өгдөг бөгөөд аргыг тайлбарлаж чадах нийлүүлэгчид үзүүлэлт байдаг, чадахгүй нь товхимолтой байдаг.

Замыг бичээрэй, шошгууд хамаагүй болно

Архитектурыг эзэмшигчтэй функцын жагсаалт гэж тодорхойл: төгсгөл, таних, хаяг хуваарилалт, зөвшөөрөл, буцах маршрутлал, бүртгэл, сэргээлт. Энэ тодорхойлолт бүтээгдэхүүний нэрийн өөрчлөлт, нийлүүлэгчийн солилцоо, худалдан авалтыг даван туулж, тэдгээрийн аль нь ч таны схемыг шинэчлэхгүй.

Улирал бүр бодит хэрэглэгчийн сессээр харьцуулж хяна, учир нь хэн ч зургийг засахгүйгээр функц шилжиж болно. Шошгууд өөрчлөгдсөөр байх бөгөөд эзэмшигчдийн жагсаалт сүлжээг үнэхээр тайлбарладаг зүйл хэвээр байх болно.