Сайт хоорондын VPN-д юу бүртгэх вэ: селектор ба хамрах хүрээ

Туннель ажиллаж эхэлснээс хойш зургаан сарын дараа шинэ дэд сүлжээ бодлогод тохирохоо болих бөгөөд хуваалцсан диск дээрх цорын ганц баримт бичиг «оффисын VPN» гэж бичсэн байна. Селекторын бүртгэл яг ийм алдааг сэргийлдэг бөгөөд тэр нь тодорхой: хаягийн олонлог өөрчлөгдсөн ч бичиг баримт өөрчлөгдөөгүй. Бүртгэлийг зөв бичих гэдэг нь хэд хэдэн хаягийн олонлогийн алийг нь дүрсэлж байгаагаа мэдэх, мөн таны тохируулсаныг бус нөгөө тал бодитоор хэрэгжүүлж байгааг бүртгэх явдал юм.

Тохируулсан нь тохиролцсоноос өөр

Бодлогод суурилсан IPsec туннельд тал бүр траффикийн селекторуудыг санал болгодог: охин ассоциацийн эх ба очих хаягийн муж. Хариу өгөгч тал энэ саналыг нарийсгах эрхтэй тул суурилуулсан ассоциаци тохиргоонд жагсааснаас бага хэсгийг хамарч болно. Тохиргоог хуулсан бүртгэл нь одоогийн хамгаалалтын хүрээг бус зорилгыг дүрсэлдэг. Хоёр нь чимээгүйхэн зөрөх бөгөөд туннелийн төлөвийн хуудсанд үүнийг харуулах зүйл байхгүй.

Хоёр баганыг ажигласан огноотойгоо хамт хадгал. Тохируулсан селектор бол таны бодол; тохиролцсон нь цөм яг одоо хэрэгжүүлж байгаа зүйл. Тэд зөрөх үед тэр зөрүү нь чиглүүлэлтийн алдаанаас илүү гэнэтийн доголдлыг илүү олон удаа тайлбарладаг.

Нэг ассоциаци нь тохируулсан бүх хосыг төлөөлдөггүй. Хэд хэдэн селекторын хослолтой туннель хэд хэдэн охин ассоциацитай болж болох бөгөөд тэдний зөвхөн нэгийг жагсаасан бүртгэл нь бүрэн бус жагсаалт юм. Нэгтгэхийн оронд тус тусад нь жагсаа.

Чиглүүлэлтэд суурилсан туннель өөрөөр сонгоно

Чиглүүлэлтэд суурилсан интерфейсийн хувьд чиглүүлэлтийн хүснэгт туннельд юу орохыг шийдэх ба селекторууд санаатайгаар өргөн байж болно. Энэ нь хайнга байдлын бус зөв загвар бөгөөд бүртгэл үүнийг яг тиймээр дүрслэх ёстой. Чиглүүлэлт, түүний заасан интерфейс, аль үйлчилгээ хүртээмжтэйг хязгаарлах галт ханын бодлогыг бич. Хамгаалалтын хүрээ санаатайгаар өргөн бөгөөд нарийсгах ажлыг үйлчилгээний хүрээ хийнэ.

Бодлогод суурилсан загварыг чиглүүлэлтэд суурилсан туннель дээр хуулах нь байршуулалтын ашигладаггүй механизмыг дүрсэлсэн баримт бичиг гаргана. Дараагийн инженер тэнд хэзээ ч байх ёсгүй байсан селекторуудыг хайж, туннелийг буруу тохируулсан гэж дүгнэнэ, гэтэл тэр зүгээр л муу бичигдсэн байсан юм.

Хөрвүүлэлт ижил хүснэгтэд багтана

NAT нөгөө талд өөр муж үзүүлэх үед анхны болон хөрвүүлсэн префиксүүдийг хамт бүртгэ. Селекторууд болон хандалтын дүрмүүд тэдгээртэй аль үе шатанд тохирохыг тэмдэглэ, учир нь дараалал нь алслагдсан тал таны бичсэн хаягийг огт харах эсэхийг шийднэ. Хоёр мужийн зөвхөн нэгийг агуулсан хүснэгт нь хүснэгтгүйгээс дор, учир нь тэр бүрэн мэт харагдана.

NAT-ын өөрчлөлтийн дараа ажиллаж байсан туннелийг эвддэг нарийн ширийн зүйл энэ: селектор анхны префикстэй хэвээр тохирч, нөгөө тал одоо хөрвүүлсэнийг хүлээн авч, түүний буцах чиглүүлэлт байхгүй болсон хаяг руу заана. Хоёр нь тохирохоо болих тэр мөчид юу ч алдаа бүртгэхгүй.

Хувийн DNS мөн адил газарт багтана. Холбогдох сайтаас ашиглах боломжгүй хаяг руу задардаг нэр нь дэмжлэгийн тасагт хүсэлт хавсаргасан бичиг баримтын алдаа бөгөөд бурууг туннельд тохох болно.

Үйлчилгээний шаардлагыг хавсарга

Хамгаалагдсан муж нь зөвшөөрлийн жагсаалт биш. Аль үйлчилгээ аль эхээс хүртээмжтэй байх ёстой, тэдний ард байгаа аппликейшны эзэн хэн болохыг бич. Тэр хоёр талбар өөр асуултад хариулдаг бөгөөд тэдгээрийг хольсноор аюулгүй байдлын хяналт хандалтын бус чиглүүлэлтийн талаар маргаан болж дуусдаг.

Дараа нь дүрмийг хадгалдаг сүлжээний админыг нэрлэ. Эзэнгүй селекторын жагсаалт чимээгүйхэн хуучирдаг бөгөөд шөнийн хоёр цагт туннель эвдрэх үед хуучирсан нь буруугаас ялгагдахгүй. Эзэн нь өөрчлөлт санаатай байсныг баталж чадах хүн юм.

Бүртгэлийг туршилтын төлөвлөгөө болго

Шаардлагатай зам бүрд төлөөлөх эх ба очих хостыг сонгож, хүлээгдэж буй чиглүүлэлт, үйлчилгээ, хариу өгөх гарцыг тэмдэглэ. Энэ нь баримт бичгийг тайлбарын бус туршилтын төлөвлөгөө болгоно. Доорх командаар ажиллаж байгаа ассоциацийг уншиж, бичсэн тохиролцсон мөртэй харьцуул.

swanctl --list-sas

Таван мөрийн араг яс ихэвчлэн бүртгэлийг үнэнч байлгахад хангалттай. Доорх хувилбар өөрчлөлтийн тасагт тасалдалгүй багтана:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Зөвхөн гарц руу пинг хийх нь хүлээн авах шалгалт биш. Тэр хэзээ ч дамжуулах замыг ажиллуулдаггүй тул дамжуулсан урсгал бүр бүтэлгүй байхад ч давж болно. Нэг талын хостоос нөгөө талын үйлчилгээ рүү туршиж, хариу туннелээр ирж байгааг батал. Хэрэв зөвхөн пинг давж байвал бүртгэл сая л урьдчилан сэргийлэх ёстой байсан дамжуулалтын асуудлыг олсон гэсэн үг. strongSwan-ы дамжуулалтын баримт бичиг Linux зангилаа дээр селектор, чиглүүлэлт, дамжуулалт хэрхэн харилцан үйлчлэхийг тайлбарладаг.