Хоёр WAN бүхий VPN бодлого ямар пакеттай тохирох ёстой вэ?

VPN-ийг хоёр дахь uplink-ээр чиглүүлэх хүсэлтүүд дор хаяж хоёр өөр ажлыг тодорхойлдог бөгөөд нэгийг нь засдаг бодлого нөгөөд нь хүрдэггүй. Эхний ажилд хоёр төгсгөлийн хоорондох шифрлэгдсэн тээвэр өөр WAN хаяг руу шилждэг. Хоёр дахьд холбогдсон хэрэглэгчийн тайлагдсан апп-ын урсгал өөр дараагийн алхам руу гардаг. Хоёулаа хууль ёсны, хоёулаа чиглүүлэлт ашигладаг, мөн тус бүр шийдвэр гаргах цэг дээр байгаа пакеттай тохирох шаардлагатай. Доорх шалгалтуудыг дарааллаар нь хийгээрэй, учир нь эхнийх нь дараагийн дүрмүүд ямар пакетыг нэрлэх ёстойг тодорхойлно.

Хоёр яриаг нэрлэ

Оффисын гарцтай холбогдсон алсын ажилтан дотоод апп сервер рүү HTTPS нээж байгааг төсөөлөөрэй. Шугам дээр хоёр бие даасан яриа байгаа бөгөөд тэдгээр нь төгсгөл бүрт өөр хаягтай. Гадаад яриа хоёр VPN төгсгөлийн хооронд явагдана: гарцын хаягаас түншийн хаяг хүртэл, байршуулалт тохиролцсон протокол, портоор. Дотоод яриа клиентэд өгсөн хаягаас 443 порт дээрх апп серверийн хаяг хүртэл явагдана.

Аппын очих порт нь VPN-ийн тээврийн порт биш бөгөөд TCP 443 дээр ямар ч бодлого байсан туннелийг хөдөлгөхгүй. Мөн түншийн тээврийн хаягийг дахин чиглүүлэх дүрэм тэр хэрэглэгчийн HTTP хүсэлт тайлагдсаны дараа хаашаа явдлын талаар юу ч хэлдэггүй. Дүрэмд хүрэхийн өмнө хоёр яриаг бодит хаягтай нь бичиж аваарай, учир нь энэ салбарын ихэнх төөрөгдөл нэгийг нь нэрлэж, нөгөөг нь тохируулснаас үүсдэг.

Бодлого тань пакетыг үнэхээр хаана харж чадахыг ол

Тохирол нь пакет таны тодорхойлсон хэлбэрээр байгаа гинжин хэлхээ ба нэрийн орон зайд үнэлэгдэх ёстой. LAN-ийн оролтод бэхлэгдсэн дүрэм дотоод пакетыг шифрлэлтгүйгээр, туннель рүү чиглүүлэхийн өмнө хардаг. Орон нутгийн үүссэн трафикт хэрэглэсэн дүрэм гарц өөрөө үүсгэдэг пакетуудыг хардаг, мөн гарц зөвхөн дамжуулж буй трафикийг автоматаар хамардаггүй. Инкапсуляцлагдсан гаралт дахин гурав дахь тохиолдол бөгөөд ихэвчлэн LAN талд биш, туннелийг зөөдөг интерфейс дээр шийдвэрлэгддэг.

Ийм учраас ижил тохиргооны хэсэг хоёр платформ дээр өөрөөр ажилладаг: бэхлэх цэгүүд ялгаатай, нийлүүлэгчийн бодлогын дэгээ шифрлэлтийн алхамаас өмнө эсвэл дараа байж болно. Өөр нийлүүлэгчийн диаграмаас дарааллыг таамаглахын оронд тухайн бүтээгдэхүүний пакетын замыг уншаарай.

Тохиролцсон тээврийг баталгаажуул

UDP-д инкапсуляцлагдсан IPsec-ийн хувьд RFC 3948 ESP-г UDP дотор байрлуулж, хуваалцсан порт дээр IKE ялгагдахуйц байхын тулд ESP бус тэмдэглэгээ ашигладаг. Энгийн ESP нь IP протокол, TCP эсвэл UDP порт биш, тиймээс портын дугаарт бичсэн галт ханын дүрэм түүнтэй огт тохирохгүй. Энэ ялгаа нь таны WAN бодлогод UDP дүрэм, протоколын дүрэм эсвэл хоёулаа хэрэгтэй эсэхийг тодорхойлно.

Тохиролцсон утгууд санаж үлдсэн утгуудаас илүү. Төхөөрөмжөөс холбооны одоогийн порт, хаягийг уншаарай, TCP 4500 эсвэл хуучин нийлүүлэгчийн портыг болзошгүй гэж нэмэхийн оронд, энэ нь хамааралгүй трафикийг барьж бодит ангиллын асуудлыг нуудаг.

Амлалт өгөхийн өмнө буцах замыг шалга

Гадагш чиглэлийн амжилт нь загварын хагасыг баталдаг. Алсын клиентүүдийн сан руу буцаж буй пакет нь инкапсуляц түүнийг орлуулсны дараа клиентийн хаягийн дор харагдахаа болино: гадаад очих газар нь түншийн тээврийн хаяг. Хэрэв хоёр дахь uplink тэр түнш рүү өөр оператороор хүрвэл түүний орчуулга, шүүлт нь эхнийхтэй санал нийлэхгүй байж болох бөгөөд холбоог шилжүүлэхийн оронд дахин бүтээх шаардлагатай байж магадгүй.

Сүлжээний хаягийн орчуулгын төлөв нь WAN солилтын ердийн хохирол юм. Сонгосон uplink, хүлээгдэж буй гадаад эх хаяг, ашиглаж буй орчуулга, түншийн тийшээ буцах хүртээмжийг тэмдэглээд, дараа нь тээврийг өөрөө зөөж буй туннель руу явуулахгүйгээр хүртээмжтэй байлга.

Хоёр бичлэгээр хоёр давхаргыг шалга

WAN интерфейс дээрх нэг бичлэг, туннелийн доторх нэг бичлэг асуудлыг ямар ч тохиргооны харьцуулалтаас хурдан шийднэ. Зөвшөөрөгдсөн клиент нэг хүсэлт хийж байх үед тэдгээрийг гарцаас ажиллуулж, хоёр файлыг хадгал.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Эхний бичлэг гадаад яриа таны санаархсан интерфейсээс хүлээгдэж буй эх хаягтай гарч байгааг харуулах ёстой. Хоёр дахь нь дотоод яриаг нэг удаа, давхардалгүй, клиентийн хаягийг эх, апп серверийг очих газар болгон харуулах ёстой. Замын хайлт нь тухайн эх ба очих хосын хувьд чиглүүлэгч ямар хүснэгт ашиглахыг баталж, бодлогын алдаа ихэвчлэн тэнд гарч ирдэг. Хэрэв аль нэг бичлэг гарахгүй бол шийдвэрийн цэг нь дүрмийг бэхэлсэн газраас өөр газар байгаа бөгөөд засвар нь илүү өргөн тохиролд бус, тэнд хамаарна.