Доторлосон VPN: гадаад холболтыг аль туннель зөөв?

Нэгэн зэрэг ажиллаж буй хоёр VPN клиент доторлосон туннель үүсгэхгүй; тэд хоёр туннель ба маршрутжуулалтын маргаан үүсгэдэг. Доторлосон туннель нь дотоод клиентийн өөрийн сервертэй холболтыг гадаад туннель өөрөө зөөж байх үед бий болдог бөгөөд энэ нь санаатайгаар барьсан зохион байгуулалт юм. Зөв бол дотоод сервер гадаад серверийн хаягийг хардаг; буруу бол нэг клиент чимээгүйгээр нөгөөгийнхөө эргэн тойрноос дахин холбогддог. Доторлолт бодит эсвэл санамсаргүй эсэхийг гурван нөхцөл шийднэ.

Доторлолтыг гурван нөхцөл шийднэ

Эхнийх нь аль төгсгөлийн цэгт аль зам хэрэгтэй вэ гэдэг. Дотоод серверийн хаягийг нэрлэж, гадаад серверийн хаягийг нэрлэж, дотоод серверт зөвхөн гадаад туннелиар хүрэх боломжтой гэдгийг тодорхой хэлнэ үү. Бусад бүхэн энэ өгүүлбэрээс гардаг, аль маршрут аль хүснэгтэд хамаарахыг ч оруулаад.

Хоёр дахь нь давхарга бүр дээр замыг харж чадах эсэх юм. Тодорхой очих газрыг аль маршрут ашиглахыг цөмөөс асууж чадахгүй бол та гинжийг эцсийн гарах IP-ээс гаргаж байна, энэ нь доторлолтыг санамсаргүй байдлаас ялгаж чадахгүй нотолгоо юм.

Гурав дахь нь гадаад туннель унах үед юу болох вэ. Дотоод туннель түүнтэй хамт зогсох, энгийн сүлжээгээр дахин холбогдох эсвэл гадаад зам буцаж иртэл блоклогдсон байх боломжтой бөгөөд гурвуулаа хамгаалагдах бодлого юм. Тэд ижил бодлого биш бөгөөд ихэнх клиентийн анхдагч зан төлөв нь хоёр дахь нь юм. Өөрийн төгсгөлийн цэгийг физик сүлжээгээр дахин холбож, зэрэг эрүүл холболт харуулж буй клиент нь санаархсан гинжийг чимээгүйгээр хоёр хамааралгүй туннель болгох хамгийн нийтлэг зам юм.

Эхний нөхцөл: аль төгсгөлийн цэгт аль зам хэрэгтэй

ip route get 203.0.113.10 энэ асуултад шууд хариулна: маршрут, эх хаяг болон цөм яг одоо тухайн очих газарт ашиглах интерфейсийг хэвлэнэ.

Дотоод клиент эхлэхээс өмнө дотоод серверийн хувьд, дараа нь дахин нэг удаа ажиллуулж, харьцуулна уу. Хариулт физик интерфейсээс гадаад туннелийн интерфейс рүү өөрчлөгдвөл доторлолт тэр мөчид бодит байна. Өөрчлөгдөхгүй бол дотоод клиент шууд холбогдож байна, панел юу ч гэсэн. Гадаад серверийн хаягийн хувьд давтана уу; тэр хаяг одоо ч физик интерфейсээр шийдэгдэх ёстой, учир нь хоёр төгсгөлийн цэгийг рекурсив барих зам нь машиныг сүлжээнээс бүрэн салгах эвдрэл юм.

Хоёр дахь нөхцөл: давхарга бүр дээрх замыг шалгана уу

Маршрут сонголт нь орчин үеийн клиент дээр үндсэн хүснэгтээс илүү зүйл юм. Бодлогын дүрмүүд тэмдэглэсэн пакетыг өөр хүснэгт рүү илгээж болно, клиент өөрийн сокетыг интерфейстэй холбож болно, контейнер эсвэл нэрийн орон зай өөрийн хүснэгттэй. ip rule болон ip route show table all нь эдгээр механизмуудын аль нь ажиллаж байгааг олж мэдэх арга юм.

Өөрийн сокет дээр SO_MARK тавьдаг эсвэл тодорхой төхөөрөмжид холбогдохоор тохируулагдсан клиент нь та тохируулсан гэж бодсон анхдагч маршрутыг тойрч гардаг. Энэ нь боломж, алдаа биш бөгөөд цорын ганц найдвартай шалгалт нь клиенттэй нэг нэрийн орон зайд ажилладаг шалгалт гэдгийг илэрхийлнэ. Клиентүүд контейнерт ажиллаж байгаа бол шалгалтыг хост дээр биш, тэдгээр контейнерт хийгээрэй.

Гурав дахь нөхцөл: гадаад туннель унах үед юу болох вэ

Эвдрэлийн үеийн зан төлөв шийдвэр шаарддаг, анхдагч утга биш. Гадаад туннель алга болоход дотоод туннельд юу болох ёстойг бичээд, дараа нь клиентүүдийг тийм болго.

Сонголтууд тодорхой. Гадаад зам алга болоход дотоод клиентийг зогсоох нь цэвэр гинж, тод тасалдал өгдөг. Түүнд шууд дахин холбогдохыг зөвшөөрөх нь хүртээмж өгч, гинж барьсан шинж чанарыг чимээгүйгээр арилгадаг. Гадаад зам буцаж иртэл блоклох нь хамгийн хатуу бөгөөд ажиллуулахад хамгийн залхмаар сонголт, учир нь гадаад туннелийн хором бүрийн хэлбэлзэл харагдах үйл явдал болдог.

Гурвуулааг нь хор хөнөөлгүй трафик болон санаатай гадаад туннелийн эвдрэлээр туршиж үзээрэй, учир нь тохиргоог унших нь аль нь байгааг хэлэхгүй. Гадаад туннелийг ал, дотоод клиент юу хийж байгааг ажиглаж, тэр унасан үед маршрутыг дахин шалга. Дараа нь гадаад туннелийг буцааж авчирч, гинж дахин бүрэлдсэнийг батал; дотоод клиентийг энэ хооронд сонгосон шууд зам дээр үлдээхгүй.

Гинж танд өгөхгүй зүйл

Нэмэлт давхаргууд төгсгөлийн цэг, түлхүүр, эвдрэлийн горим нэмдэг; тэд ямар ч нэргүй байдлын баталгаа нэмэхгүй бөгөөд гадаад операторыг туннель байгааг харахаас сэргийлэхгүй. Доторлолт юунаас хамгаалдаг тухай аливаа мэдэгдэл аль ажиглагчаас хамгаалдагыг нэрлэх ёстой.

Үр дүн нь ажиллаж буй холболт биш, богино баримт бичиг: аль төгсгөлийн цэг аль замыг ашигладаг, гадаад эвдрэлд юу болдог, одоогийн байдлыг харуулах гурван команд. strongSwan-ийн дамжуулалтын баримт бичиг нь туннелийн трафик Linux хост дээр интерфейсүүдийн хооронд хэрхэн дамждаг тухай ашигтай эх сурвалж. Клиент шинэчлэгдэх бүрд шалгалтыг дахин ажиллуул, учир нь гинжийг тань үүсгэсэн анхдагч утгууд нь гэрээ биш. Шалгаж чадахгүй доторлосон туннель бол төлөв байдлын гэрэлтэй цуу яриа.