VPN-ийн тусгай хаяг дээр үнэндээ хэн хариулдаг вэ?

Байгууллагын хуваарилалтад ашиглагдаагүй хэвтэж буй хаяг нь сонсогч биш бөгөөд түүнийг галт хананд нэмэх нь нэгийг ч үүсгэхгүй. Тэр хаяг дээр IKE-г ямар нэгэн зүйл дуусгах ёстой бөгөөд механизм нь гарц хаягийг эзэмшдэг эсэх эсвэл дээд төхөөрөмж түүнийг орчуулдаг эсэхээс хамаарч өөр өөр байна. Хоёрыг ялгадаг нь пакетийн зам бөгөөд хэн нэгэн өөрчлөлтийн хүсэлт нээхээс өмнө ямар платформын боломж хэрэгтэйг ч мөн энэ зам тодорхойлно. Эхлээд замыг загварчилж, дараа нь сонгоно уу.

Хаягийн ард байгаа пакетийн зам

Хамтрагч нь өөрт өгөгдсөн хаяг руу IKE илгээдэг, UDP 500-ээр эсвэл NAT-ын нэвтрэлт оролцож байгаа үед UDP 4500-ээр. Замын дагуу тэр хаягийг эзэмшиж буй аль ч төхөөрөмж датаграмыг локалаар хүлээн авч хариулдаг, эсвэл өөр газар руу дамжуулдаг. Эдгээр нь зөвхөн хоёр боломж бөгөөд энэ нийтлэл дэх бусад бүхэн аль нь үнэнээс үүдэлтэй.

Локалаар хүлээн авах гэдэг нь тэр төхөөрөмж дээр тэр хаягт холбогдсон сокет байгаа гэсэн үг. Дамжуулах гэдэг нь датаграмыг дахин бичиж өөр төгсгөлийн цэг рүү илгээдэг гэсэн үг бөгөөд сокет нь тэнд байх болно. UDP 500-г зөвшөөрдөг галт ханын дүрэм нь хоёрын аль нь болж байгааг танд хэлэхгүй.

Ямар нэгэн зүйлд хүрэхээс өмнө бүртгэлийг бичнэ үү: хамтрагчдын холбогдох хаяг, дээд сүлжээ үүнийг хэрхэн хүргэдэг, үүнийг хүлээн авдаг локал интерфэйс эсвэл логик төгсгөлийн цэг, IKE-д хариулдаг процесс. Дөрвөн мөр, мөн тус бүрийг шалгаж болно. Аль нэг нь тодорхойгүй бол тэр тодорхойгүй нь загварын ажил бөгөөд дараа шийдэх хэрэгжүүлэлтийн дэлгэрэнгүй биш. Өөрчлөлтийн хүсэлт батлагдсаны дараа тэдгээрийг бөглөх нь орчуулгын дүрэм буруу төхөөрөмжид нэмэгдэх зам юм.

Загвар A: гарц хаягийг эзэмшдэг

Эхний загварт гарц нь хаягийг өөрөө эзэмшдэг, өөрөөр хэлбэл одоо байгаа интерфэйс дээрх хоёрдогч хаяг, тусгай интерфэйс дээрх хаяг, эсвэл платформ тунелийн төгсгөлийн цэг болгон дэмждэг loopback хэлбэрээр. Эдгээр нь өөр өөр тохиргооны замтай гурван өөр боломж бөгөөд нэгийг дэмждэг платформ бусад нь дэмжихгүй байж болно.

Үүнийг үндэслэн загварчлахаас өмнө платформ болон хувилбар яг энэ зохион байгуулалтыг дэмждэг эсэхийг баталгаажуулна уу. Маршрутлагдсан блок, интерфэйс дээрх нэмэлт хаяг, loopback төгсгөлийн цэг нь харилцан солилцох боломжгүй бөгөөд нэг хувилбарын баримт бичиг дараагийнх нь ижил ажиллана гэж амладаггүй.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Сонсож буй сокет нь баталгаа. Хаягт юу ч холбогдоогүй бол маршрутын хүснэгт юу ч гэсэн гарц нь дуусгагч биш бөгөөд пакет барих нь датаграмууд ирж байгаа ч тэдэнд хариулах зүйл байхгүйг харуулна.

Топологийн өөр газарт аль хэдийн байгаа дэд сүлжээнд хоёр дахь интерфэйс байрлуулж, платформ үүнийг шийднэ гэж бүү бодоорой. Давхцсан интерфэйсийн дэд сүлжээнүүд эх сурвалжийн сонголтыг хоёрдмол утгатай болгож, олон платформ дээр тохируулахаас бүрмөсөн татгалздаг.

Загвар B: дээд төхөөрөмж үүнийг орчуулдаг

Хоёр дахь загварт дээд галт хана тусгай хаягийг эзэмшиж, урсгалыг өөр VPN гарц руу дамжуулдаг. Энэ нь буцах замтай зорчих газрын орчуулга бөгөөд түүнийг ингэж баримтжуулсан тохиолдолд бүрэн хүчинтэй загвар юм.

Харин энэ нь дээд төхөөрөмж локал VPN сокет авсан гэсэн нотолгоо биш. Орчуулга пакетуудыг дамжуулдаг; энэ нь дээд хайрцгийг IKE хариулагч болгодоггүй. Дээд дүрэм хасагдвал эсвэл түүний буцах зам тасарвал гарц эрүүл, өөрийн сонсогчид бүрэн бүтэн байсан ч VPN зогсдог.

Хоёр хаягийг бүртгэнэ үү: хамтрагчдын холбогддог хаяг болон гарцын үнэндээ хардаг хаяг. Дараа нь тээврийг болон буцах замыг бүртгэнэ үү, учир нь UDP 500-д ажилладаг ч капсуллагдсан ESP-д ажилладаггүй орчуулга холбогдоод дараа нь урсгал зөөж чадахгүй бөгөөд энэ нь дараа нь дибаг хийхэд төвөгтэй алдаа юм.

Таних тэмдэг нь гадаад хаяг биш

IPsec нь тунелийн төгсгөлийн цэгийг өөрийн хамгаалж буй урсгалаас тусгаарладаг бөгөөд архитектур тэдгээр шийдвэрийг өөр өөр газарт хадгалдаг. Хамтрагчдын холбогддог хаягийг өөрчлөх нь ямар дотоод префикс зөвшөөрөгдөх, ямар маршрут суурилагдах, сесс ямар нөөцөд хүрэх боломжтойг автоматаар өөрчлөхгүй.

Баталгаажсан таних тэмдэг дахин тусдаа. IKEv2 нь гадаад пакетийн хаягтай тохирох шаардлагагүй таних тэмдгийн ачаа болон баталгаажуулалтын солилцоог зөөдөг бөгөөд яг ийм учраас орчуулсан загвар ч зөв баталгаажиж чадна.

Энэ бие даасан байдал нь ашигтай бөгөөд нэгэн зэрэг урхи юм. Нэг энгийн сонсогч руу шийдэгддэг хоёр DNS нэр өөр өөр VPN арын хэсгийг сонгодоггүй бөгөөд нэг таних тэмдгийг нэрлэсэн гэрчилгээ өөрийг нь хүлээж буй хамтрагчийг хангахгүй. Зөвхөн хаяг үүнийг шийддэг гэж бодохоос өмнө хамтрагч юу баталгаажуулдгийг тодруулна уу.

Нэг холболтыг ажиглаж загварыг хүлээн авна уу

Шинэ зөвшөөрөгдсөн холболт үнэндээ хаашаа хүргэгдэж байгаа, аль таних тэмдэг хариулж байгаа, дараа нь ямар хувийн урсгал зөвшөөрөгдөж байгааг шалгана уу. Гурван ажиглалт, гурван өөр давхарга бөгөөд хаягийн амжилттай нийтийн хайлт тэдгээрийн нэгийг ч шалгахгүй.

Сөрөг тохиолдлыг ч хадгална уу: хүлээн авах ёсгүй хамтрагч, эсвэл хүрэх ёсгүй дотоод префикс, өөрчлөлтийн дараа шалгагдсан. Эхэнд бичсэн бүртгэл нь загварыг ой санамжаас дахин бүтээхгүйгээр тэр шалгалтыг хийх боломжийг олгодог.

Энэ бүгдийн утга нь сүлжээний эзэмшигчид галт хана бүр нэмэлт хаягтай юу хийж чадах тухай ерөнхий мэдэгдэлд найдахын оронд дэмжигдсэн хуваарилалтын аргыг сонгох боломж олгох явдал юм. Яг тэр мэдэгдэл нь эдгээр загварууд алдаа гардаг газар, учир нь энэ нь платформ бүр дээр үнэмшилтэй сонсогддог ч ерөнхийдөө аль нэг дээр ч үнэн биш. Дөрвөн мөрийн бүртгэл үүнийг таны платформын хувьд арван минутад шийднэ.