Satu NIC atau Dua? Menentukan Susun Atur Antara Muka Pelayan VPN

Satu penyesuai fizikal cukup untuk banyak pelayan VPN, dan ia juga bukan reka bentuk universal. Sambungan tersulit tiba pada penyesuai itu, proses VPN menyahsulitnya, kemudian trafik dalaman keluar melalui antara muka maya sebelum sampai ke perkhidmatan tempatan atau LAN yang dihalakan. Sama ada ia berfungsi bergantung pada tiga syarat: di mana destinasi berada, sama ada LAN mempunyai laluan pulang ke kumpulan klien, dan sama ada satu pautan fizikal dikongsi memberi anda pengasingan yang anda dakwa. Jawab ketiga-tiganya dan bilangan penyesuai akan menyusul.

Tiga syarat yang menentukannya

Syarat pertama ialah destinasi. Perkhidmatan pada hos VPN itu sendiri hanya dicapai melalui antara muka terowong, manakala hos pada LAN memerlukan penghantaran dan laluan pulang. Syarat kedua ialah laluan pulang itu, kerana peranti LAN mesti tahu cara mencapai kumpulan klien, sama ada melalui laluan atau melalui terjemahan pada pelayan.

Syarat ketiga ialah pemisahan. Satu penyesuai bermakna setiap paket, tersulit atau tidak, berkongsi satu pautan dan biasanya satu rantaian dasar, jadi dakwaan pengasingan yang bergantung pada perkakasan berasingan tidak dipenuhi oleh satu antara muka. Itu fakta tentang laluan, bukan tentang cara sistem pengendalian dikonfigurasikan. Anda masih boleh menapis trafik terowong, tetapi anda tidak boleh mendakwa sempadan yang anda tidak miliki.

Tiada satu pun daripada ketiga-tiganya tentang bilangan port pada casis. Ia tentang penghalaan, pemilikan alamat dan sejauh mana reka bentuk bergantung pada pemisahan fizikal.

Dua penyesuai kekal sebagai pilihan sah apabila zon fizikal, pautan naik berasingan, daya pemprosesan atau laluan pemulihan luar jalur mewajarkannya. Itu keperluan konkrit, dan ia wajar dinyatakan sebelum seseorang memesan perkakasan.

Apabila perkhidmatan berjalan pada hos VPN

Kes paling mudah tidak memerlukan penghantaran sama sekali. Daemon menerima paket klien pada antara muka terowong dan menyerahkannya kepada soket tempatan, dan balasan kembali melalui antara muka yang sama. Bagi hos, alamat kumpulan klien ialah alamat tempatan sebenar.

Dua perkara masih mesti betul: perkhidmatan mesti mendengar pada alamat yang boleh dicapai oleh terowong, dan tembok api hos mesti menerima trafik yang tiba pada antara muka terowong. Kedua-duanya kelihatan dalam arahan di bawah.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Mengikat perkhidmatan hanya pada alamat awam, atau menapis antara muka terowong secara tersilap, menghasilkan sambungan yang sampai ke hos dan kemudian mati. Itu kelihatan seperti kerosakan VPN dan biasanya keputusan soket atau tembok api.

Apabila destinasi berada di LAN

Di sinilah reka bentuk satu penyesuai mendapat reputasi rumit. Pelayan mesti menghantar paket klien ke arah LAN, dan peranti LAN mesti menghantar balasan kembali ke kumpulan klien. Sama ada anda membawa kumpulan itu sebagai laluan di LAN, atau anda menterjemah alamat sumber pada pelayan supaya balasan kembali kepada pelayan itu sendiri.

Kedua-dua jawapan sah dan ia gagal secara berbeza. Laluan pulang membiarkan alamat klien asal kelihatan kepada destinasi, yang baik untuk log dan buruk untuk peraturan tembok api yang menganggap alamat LAN. Terjemahan mengekalkan LAN mudah dan menyembunyikan identiti klien daripada destinasi.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Laluan tidak simetri ialah gejala klasik: permintaan klien tiba, balasan keluar melalui penghala lain, dan sambungan tamat masa tanpa ralat di kedua-dua hujung. Tangkap trafik di kedua-dua belah sebelum membuat sebarang kesimpulan tentang terowong.

Mengapa alias tidak mencipta zon kedua

Menambah alamat kedua pada penyesuai yang sama, atau mencipta antara muka dummy untuk meniru port kedua, mengubah sangat sedikit. Paket masih keluar melalui pautan fizikal yang sama, port suis yang sama dan biasanya rantaian tembok api yang sama, jadi tiada sempadan baharu wujud di antara mereka. Ia kemudahan konfigurasi, bukan segmentasi. Menganggapnya sebagai sempadan zon ialah cara dakwaan pengasingan hanya bertahan di atas kertas.

Zon berasingan memerlukan pemisahan sebenar dalam laluan, dan itulah keperluan yang dipenuhi penyesuai kedua. Jika sesuatu peraturan bergantung pada trafik menghadap VPN tidak pernah berkongsi domain siaran dengan trafik menghadap LAN, satu kabel tidak boleh memberikan sifat itu, tidak kira bagaimana hos dialamatkan.

Jika produk mendokumenkan topologi berbilang antara muka untuk mod tertentu, ikut dokumentasi produk itu dan jangan cipta jalan pintas. Vendor juga menukar topologi yang disokong antara keluaran, sebab lain untuk membaca panduan semasa dan bukan tangkapan skrin wizard lama.

Semak susun atur terhadap trafik yang anda benarkan

Senaraikan kelas trafik yang pelayan perlu bawa: klien ke hos, klien ke LAN, hos ke LAN, dan sambungan luar tersulit. Setiap kelas mempunyai sumber, destinasi dan antara muka, dan susun atur mesti memenuhi keempat-empatnya serentak. Reka bentuk yang mengendalikan tiga daripadanya biasanya yang menghasilkan tiket.

Kemudian sahkan antara muka sebenar dan tangkapan sebenar, bukan rajah dalam dokumen reka bentuk. Arahan di bawah mencetak kedua-dua paparan.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Jika tangkapan luar menunjukkan trafik tersulit dan tangkapan dalam menunjukkan trafik dinyahsulit pada antara muka terowong sementara penyesuai fizikal membawa kedua-duanya, satu NIC sudah memadai. Jika tangkapan dalam kosong, masalahnya ada pada terowong atau peraturan penghantaran, bukan pada bilangan penyesuai. Tentukan topologi daripada kedua-dua tangkapan itu dan jadual penghalaan, dan perubahan seterusnya mempunyai sesuatu untuk diukur.