VPN च्या समर्पित पत्त्यावर प्रत्यक्षात कोण उत्तर देतो?

संस्थेच्या वाटपात वापरल्याशिवाय पडलेला पत्ता श्रोता नाही, आणि तो फायरवॉलमध्ये जोडल्याने एकही तयार होत नाही। त्या पत्त्यावर IKE संपवायला काहीतरी हवे, आणि गेटवे स्वतः पत्त्याचा मालक आहे की अपस्ट्रीम उपकरण त्याचे भाषांतर करते यावर यंत्रणा बदलते। पॅकेटचा मार्गच दोन्हींना वेगळा करतो, आणि कोणी बदल विनंती उघडण्यापूर्वी तुम्हाला कोणते प्लॅटफॉर्म वैशिष्ट्य हवे हेही तोच ठरवतो। आधी मार्गाचे प्रतिरूप तयार करा, मग निवडा।

पत्त्यामागील पॅकेट मार्ग

सहभागी आपल्याला दिलेल्या पत्त्यावर IKE पाठवतो, UDP 500 वर किंवा NAT प्रवास सुरू असताना UDP 4500 वर। मार्गात तो पत्ता धारण करणारे कोणतेही उपकरण डेटाग्राम स्थानिक पातळीवर स्वीकारून उत्तर देते, किंवा तो दुसरीकडे पाठवते। या केवळ दोनच शक्यता आहेत, आणि या लेखातील बाकी सर्व त्यातील कोणती खरी आहे यावरून येते।

स्थानिक स्वीकार म्हणजे त्या उपकरणावर त्या पत्त्याशी बांधलेले सॉकेट आहे। पाठवणे म्हणजे डेटाग्राम पुन्हा लिहिला जाऊन दुसऱ्या अंतबिंदूकडे पाठवला जातो, आणि मग सॉकेट तिथे असते। UDP 500 ला परवानगी देणारा फायरवॉल नियम यातील कोणते घडत आहे हे तुम्हाला सांगत नाही।

काहीही स्पर्श करण्यापूर्वी नोंद लिहा: सहभागी संपर्क करतात तो पत्ता, वरचे नेटवर्क तो कसा पोहोचवते, तो स्वीकारणारा स्थानिक इंटरफेस किंवा तार्किक अंतबिंदू, आणि IKE ला उत्तर देणारी प्रक्रिया। चार ओळी, आणि प्रत्येक तपासता येते। त्यातील एक अज्ञात असल्यास ते अज्ञातच रचनेचे काम असते, नंतर ठरवायचा अंमलबजावणीचा तपशील नाही। बदल विनंती मंजूर झाल्यावर त्या भरणे हा चुकीच्या उपकरणात भाषांतर नियम जोडला जाण्याचा मार्ग आहे।

प्रतिरूप A: गेटवे पत्त्याचा मालक आहे

पहिल्या प्रतिरूपात गेटवे स्वतः पत्ता धारण करतो, एकतर विद्यमान इंटरफेसवर दुय्यम पत्ता म्हणून, समर्पित इंटरफेसवर पत्ता म्हणून, किंवा प्लॅटफॉर्म टनेल अंतबिंदू म्हणून समर्थित करते असे loopback म्हणून। ही तीन वेगवेगळी वैशिष्ट्ये आहेत तीन वेगवेगळ्या संरचना मार्गांसह, आणि एकाला समर्थन देणारे प्लॅटफॉर्म बाकीच्यांना देत नाही असेही होऊ शकते।

त्याभोवती रचना करण्यापूर्वी प्लॅटफॉर्म आणि आवृत्ती नेमकी हीच मांडणी समर्थित करतात याची खात्री करा। मार्गित ब्लॉक, इंटरफेसवरील अतिरिक्त पत्ता आणि loopback अंतबिंदू परस्पर बदलता येत नाही, आणि एका आवृत्तीचे दस्तऐवज पुढील तीच वागणूक देईल असे वचन देत नाही।

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

ऐकणारे सॉकेटच पुरावा आहे। पत्त्याशी काहीही बांधलेले नसल्यास, मार्गनिर्देश तक्ता काहीही म्हणो, गेटवे समापक नाही, आणि पॅकेट कॅप्चर डेटाग्राम येत आहेत पण त्यांना उत्तर देणारे कोणीही नाही असे दाखवते।

टोपोलॉजीत इतरत्र आधीच असलेल्या सबनेटमध्ये दुसरा इंटरफेस ठेवू नका आणि प्लॅटफॉर्म ते सोडवेल असे गृहीत धरू नका। आच्छादित इंटरफेस सबनेट अस्पष्ट स्रोत निवड निर्माण करतात आणि अनेक प्लॅटफॉर्मवर संरचना करण्यास पूर्ण नकार देतात।

प्रतिरूप B: वरचे उपकरण त्याचे भाषांतर करते

दुसऱ्या प्रतिरूपात वरचा फायरवॉल समर्पित पत्ता धारण करतो आणि रहदारी दुसऱ्या VPN गेटवेकडे पाठवतो। हे परतीच्या मार्गासह गंतव्य भाषांतर आहे, आणि तसे नोंदवलेले असेल तर ती पूर्णपणे वैध रचना आहे।

जे नाही ते म्हणजे वरच्या उपकरणाने स्थानिक VPN सॉकेट मिळवले असल्याचा पुरावा। भाषांतर पॅकेट पाठवते; ते वरच्या खोक्याला IKE उत्तरदाता बनवत नाही। वरचा नियम काढला गेला किंवा त्याचा परतीचा मार्ग तुटला तर, गेटवे निरोगी आणि त्याचे स्वतःचे श्रोते अभंग असूनही VPN थांबते।

दोन्ही पत्ते नोंदवा: सहभागी संपर्क करतात तो आणि गेटवे प्रत्यक्षात पाहतो तो। मग वहन आणि परतीचा मार्ग नोंदवा, कारण UDP 500 साठी चालते पण कॅप्सुलीकृत ESP साठी चालत नाही असे भाषांतर जोडले जाईल आणि मग रहदारी वाहून नेण्यात अयशस्वी होईल, जी नंतर दोष शोधण्यासाठी गोंधळाची अयशस्वीता आहे।

ओळख बाह्य पत्ता नाही

IPsec टनेलचा अंतबिंदू तो संरक्षित करतो त्या रहदारीपासून वेगळा करतो, आणि स्थापत्य ते निर्णय वेगवेगळ्या ठिकाणी ठेवते। सहभागी संपर्क करतात तो पत्ता बदलल्याने कोणते अंतर्गत प्रीफिक्स परवानगीत आहेत, कोणते मार्ग बसवले जातात किंवा सत्र कोणत्या संसाधनांपर्यंत पोहोचू शकते हे आपोआप बदलत नाही।

प्रमाणित ओळख पुन्हा वेगळी आहे। IKEv2 बाह्य पॅकेट पत्त्याशी जुळण्याची आवश्यकता नसलेले ओळख पेलोड आणि प्रमाणीकरण देवाणघेवाण वाहून नेते, आणि म्हणूनच भाषांतरित रचनाही अजूनही योग्यरित्या प्रमाणीकरण करू शकते।

ती स्वातंत्र्य उपयुक्त आणि त्याचवेळी सापळा आहे। एका सामान्य श्रोत्याकडे सुटणारी दोन DNS नावे वेगवेगळे VPN बॅकएंड निवडत नाहीत, आणि एक ओळख नाव देणारे प्रमाणपत्र दुसरीची अपेक्षा करणाऱ्या सहभागीला समाधान देणार नाही। केवळ पत्ताच ते ठरवतो असे गृहीत धरण्यापूर्वी सहभागी काय सत्यापित करतो ते तपासा।

एक जोडणी पाहून रचना स्वीकारा

नवीन अधिकृत जोडणी प्रत्यक्षात कुठे पोहोचवली जाते, कोणती ओळख उत्तर देते आणि नंतर कोणता खाजगी प्रवाह परवानगीत आहे ते तपासा। तीन निरीक्षणे, तीन वेगवेगळे स्तर, आणि पत्त्याचा यशस्वी सार्वजनिक शोध त्यातील एकही तपासत नाही।

नकारात्मक स्थितीही ठेवा: स्वीकारू नये असा सहभागी, किंवा पोहोचू नये असा अंतर्गत प्रीफिक्स, बदलानंतर पडताळलेला। सुरुवातीला लिहिलेली नोंदच स्मरणातून रचना पुन्हा उभारल्याशिवाय ती चाचणी शक्य करते।

या सगळ्याचा हेतू असा की नेटवर्क मालकाला प्रत्येक फायरवॉल अतिरिक्त पत्त्यासह काय करू शकतो या सर्वसाधारण दाव्यावर अवलंबून राहण्याऐवजी समर्थित वाटप पद्धत निवडता यावी। तोच दावा या रचना चुकतात ते ठिकाण आहे, कारण तो प्रत्येक प्लॅटफॉर्मवर विश्वासार्ह वाटतो आणि सर्वसाधारणपणे कोणत्याही ठिकाणी खरा नाही। चार ओळींची नोंद तुमच्या प्लॅटफॉर्मसाठी दहा मिनिटांत ते निकाली काढते।