Cara Merancang Kolam Alamat Pelanggan VPN yang Sesuai

Mulakan di medan kolam pada pelayan VPN, bukan dalam hamparan. Apa sahaja yang anda taip di situ menjadi ruang alamat dalaman bagi setiap pelanggan yang menyambung selepas itu, dan ia mesti wujud bersama LAN yang dicapai pelanggan tersebut, tapak terlaluan di belakangnya dan apa-apa alamat yang sudah dipegang pelanggan di rumah. Sambungkan satu pelanggan sebaik sahaja kolam disimpan, kerana sambungan pertama itu memberitahu anda sama ada nilainya berfungsi dalam praktik. Dari situ panduan bergerak ke luar: alamat yang diterima pelanggan, laluan yang dilalui balasan dan rekod yang anda tinggalkan.

Mulakan di medan kolam, sebelum mana-mana pelanggan menyambung

Setiap produk mendedahkannya secara berbeza, jadi cari objek yang benar-benar memperuntukkan alamat. OpenVPN mempunyai arahan kolam di sisi pelayan yang memberikan alamat bebas seterusnya, get laluan IKEv2 mempunyai bahagian kolam yang terikat pada konfigurasi rakan setara, dan WireGuard tiada kedua-duanya kerana setiap rakan setara membawa alamatnya sendiri dalam fail konfigurasinya. Arahan kolam dan alamat setiap rakan setara tidak boleh ditukar ganti, dan menyunting yang salah membazirkan baki panduan.

Setelah medan diperoleh, senaraikan julat yang sudah wujud: LAN pejabat, setiap tapak terlaluan, VPC awan dan mana-mana kolam lain yang masih beroperasi. Pertindihan ditentukan oleh aritmetik awalan, bukan oleh sama ada nombor hos kelihatan biasa, jadi bandingkan agregat dengan setiap julat itu. Dua julat yang kedua-duanya kelihatan seperti 10.x tidak berbahaya apabila agregatnya tidak bersilang dan menjadi insiden sokongan apabila bersilang.

Kemudian tentukan sama ada alamat itu fungsi siapa yang menyambung atau bila mereka menyambung. Peruntukan dinamik memberikan apa yang bebas, manakala peruntukan mengikut identiti mengikat alamat tetap pada kelayakan. Catat pilihan itu, kerana ia mengubah rupa sambungan semula kemudian.

Baca alamat yang benar-benar diterima pelanggan

Sambungkan satu pelanggan dan baca apa yang dilaporkan terowong, bukan apa yang dijanjikan kolam. Pelanggan memaparkan alamat dalamannya dalam status sambungan, dan pada Linux antara muka membawanya secara langsung.

Bandingkan alamat itu dengan julat yang anda simpan. Jika ia di luar julat, anda sedang melihat laluan peruntukan yang berbeza daripada yang anda sunting. Periksa juga panjang awalan, kerana pelanggan dengan /32 tiada rakan setara pada pautan dan menghantar setiap destinasi melalui laluan lalainya.

ip -4 addr show tun0
ip route get 192.168.50.20

Pelanggan yang menyambung dari penghala rumah yang menggunakan julat sama akan menyambung dan kemudian hampir tidak mencapai apa-apa. Pelanggan mengekalkan laluan tempatannya untuk awalan itu, jadi alamat terowong bertembung dengan rangkaian di belakangnya dan trafik keluar melalui antara muka yang salah. Kes itu tidak boleh dibaiki pada pelayan; penawar yang didokumenkan ialah menomborkan semula rangkaian rumah atau memilih julat kolam yang cukup jauh supaya pertembungan kekal jarang. Catat kegagalan dan penawarnya, kerana meja bantuan akan menemuinya lagi.

Sambung semula pelanggan yang sama dan perhatikan alamatnya. Kolam dinamik mungkin mengembalikan nilai yang sama atau berbeza dan kedua-duanya betul, manakala kolam mengikut identiti yang menukar alamat tidak menghormati ikatan itu. Semakan itu mengambil masa beberapa saat dan menentukan sama ada mod yang anda catat dalam bahagian pertama ialah mod yang berkuat kuasa.

Ikuti balasan kembali daripada perkhidmatan

Kolam hanya berfungsi apabila balasan boleh bergerak kembali kepadanya. Perkhidmatan di LAN menjawab alamat dalaman, jadi get laluannya memerlukan laluan untuk kolam atau terjemahan di hadapan perkhidmatan. Apabila permintaan tiba melalui terowong dan balasan keluar melalui laluan berbeza, tembok api berkeadaan atau semakan laluan songsang menggugurkannya, dan pelanggan melihat perkhidmatan yang menyambung dan kemudian tergantung. Letakkan kolam dalam reka bentuk laluan sebagai satu blok yang boleh diringkaskan dan bukannya menambah laluan bagi setiap hos.

Terjemahan mengubah apa yang dilihat oleh seluruh sistem. Apabila sumber ditulis semula, alamat dalam tembok api hos dan dalam log aplikasi ialah yang diterjemah, jadi peraturan yang ditulis terhadap alamat kolam tidak sepadan dengan apa-apa dan baris log tidak boleh dijejaki kembali kepada pelanggan. Dokumentasi penghantaran strongSwan meliputi separuh sisi pelayan bagi laluan itu untuk get laluan IKEv2. DNS membawa kekangan yang sama, kerana nama yang menyelesaikan kepada alamat yang tidak dapat dicapai pelanggan gagal kemudian dan di tempat lain.

Dua pelanggan, kemudian satu pembatalan

Sambungkan dua pelanggan serentak dan baca kedua-dua alamat. Kedua-duanya mesti berbeza, boleh digunakan dan berada dalam kolam, dan setiap satu mesti mencapai perkhidmatan yang dimaksudkan. Kolam yang memberikan alamat pendua biasanya muncul di sini dan bukan dalam ujian satu pelanggan yang pertama.

Batalkan satu kelayakan sementara pelanggan lain kekal bersambung, kemudian cuba perkhidmatan itu dari pelanggan yang terselamat. Pembatalan yang mengganggu sesi lain menunjukkan keadaan dikongsi, selalunya satu kelayakan atau satu alamat yang digunakan semula merentas peranti. Sambung semula pelanggan yang dibatalkan dan sahkan ia ditolak dan bukannya diberi alamat yang dibebaskan.

Akhiri dengan destinasi yang sepatutnya ditolak. Pelanggan yang mencapai segala-galanya telah disambungkan, bukan diuji.

Tulis keempat-empat nilai di tempat perubahan seterusnya akan menemuinya

Rekod itu ringkas: julat dan awalan kolam, mod peruntukan, laluan pulang atau terjemahan yang digunakan, dan skop DNS yang menjawab bagi destinasi tersebut. Letakkan di sebelah konfigurasi pelayan dan bukannya dalam tiket, serta tarikhkannya. Sesiapa yang menukar salah satu daripada empat itu kemudian memerlukan tiga yang lain di hadapannya, kerana perubahan saiz kolam memecahkan laluan dan perubahan laluan memecahkan jawapan DNS.

Simpan nota pemilikan bersamanya: julat terowong milik pelayan VPN, dan tempahan yang dibuat dalam skop DHCP LAN tidak menempah apa-apa untuk pelanggan di dalam terowong. Satu baris itu menghalang kerja semula yang paling biasa, apabila seseorang menambah tempahan dan mengharapkan alamat terowong mengikutinya.