Paket mana yang perlu dipadankan oleh dasar VPN dua WAN?

Permintaan untuk menghalakan VPN melalui pautan atas kedua menerangkan sekurang-kurangnya dua tugas berbeza, dan dasar yang membaiki satu tidak menyentuh yang lain. Dalam tugas pertama, pengangkutan tersulit antara dua hujung berpindah ke alamat WAN lain. Dalam yang kedua, aliran aplikasi penyahsulitan pengguna yang bersambung keluar menuju hop seterusnya yang berbeza. Kedua-duanya sah, kedua-duanya menggunakan penghalakan, dan setiap satu memerlukan padanan pada paket yang wujud di titik keputusan dibuat. Lalui pemeriksaan di bawah mengikut urutan, kerana yang pertama menentukan paket mana yang perlu dinamakan oleh peraturan kemudian.

Namakan dua perbualan itu

Bayangkan pekerja jauh yang bersambung ke get laluan pejabat, membuka HTTPS ke pelayan aplikasi dalaman. Ada dua perbualan berasingan pada wayar, dan kedua-duanya mempunyai alamat berbeza di setiap hujung. Perbualan luar berjalan antara dua hujung VPN: dari alamat get laluan ke alamat rakan, dengan protokol dan port yang dirundingkan oleh penggunaan. Perbualan dalam berjalan dari alamat yang diberikan kepada klien ke alamat pelayan aplikasi pada port 443.

Port destinasi aplikasi bukan port pengangkutan VPN, dan tidak ada jumlah dasar pada TCP 443 yang akan menggerakkan terowong. Begitu juga, peraturan yang mengubah hala alamat pengangkutan rakan tidak mengatakan apa-apa tentang ke mana permintaan HTTP pengguna itu pergi selepas penyahsulitan. Catat kedua-dua perbualan dengan alamat sebenar sebelum menyentuh peraturan, kerana kebanyakan kekeliruan dalam bidang ini datang daripada menamakan satu dan mengkonfigurasi yang lain.

Cari di mana dasar anda benar-benar dapat melihat paket

Padanan mesti dinilai dalam rantai dan ruang nama di mana paket masih dalam bentuk yang anda terangkan. Peraturan yang dipasang pada masuk LAN melihat paket dalam, tanpa penyulitan, sebelum ia dihalakan ke terowong. Peraturan yang digunakan pada trafik yang dijana secara tempatan melihat paket yang dijana oleh get laluan itu sendiri, dan ia tidak secara automatik meliputi trafik yang hanya diteruskan oleh get laluan. Output berkapsul ialah kes ketiga pula, biasanya dikendalikan pada antara muka yang membawa terowong dan bukan di sebelah LAN.

Itulah sebabnya coretan konfigurasi yang sama berkelakuan berbeza pada dua platform: titik pemasangan berbeza, dan cangkuk dasar vendor mungkin terletak sebelum atau selepas langkah penyulitan. Baca laluan paket untuk produk tertentu dan bukan menganggap urutannya daripada gambar rajah vendor lain.

Sahkan pengangkutan yang anda rundingkan

Bagi IPsec berkapsul UDP, RFC 3948 meletakkan ESP di dalam UDP dan menggunakan penanda bukan ESP supaya IKE kekal dapat dibezakan pada port dikongsi. ESP biasa ialah protokol IP, bukan port TCP atau UDP, jadi peraturan tembok api yang ditulis pada nombor port tidak akan memadankannya sama sekali. Perbezaan ini menentukan sama ada dasar WAN anda memerlukan peraturan UDP, peraturan protokol, atau kedua-duanya.

Nilai yang dirundingkan mengalahkan nilai yang diingati. Baca port dan alamat persatuan semasa daripada peranti dan bukan menambah TCP 4500 atau port vendor lama untuk berjaga-jaga, yang menangkap trafik tidak berkaitan dan menyembunyikan masalah pengelasan sebenar.

Periksa laluan balik sebelum komited

Kejayaan keluar membuktikan separuh reka bentuk. Paket yang kembali ke kumpulan klien jauh tidak lagi kelihatan di bawah alamat klien apabila kapsulasi menggantikannya: destinasi luar ialah alamat pengangkutan rakan. Jika pautan atas kedua sampai ke rakan itu melalui pembawa berbeza, terjemahan dan penapisannya mungkin tidak bersetuju dengan yang pertama, dan persatuan mungkin perlu dibina semula dan bukan dihijrahkan.

Keadaan terjemahan alamat rangkaian ialah mangsa biasa pertukaran WAN. Catat pautan atas yang dipilih, alamat sumber luar yang dijangka, terjemahan yang digunakan dan kebolehcapaian rakan kembali kepadanya, kemudian kekalkan pengangkutan boleh dicapai tanpa menghantarnya ke dalam terowong yang dibawanya.

Sahkan kedua-dua lapisan dengan dua tangkapan

Satu tangkapan pada antara muka WAN dan satu di dalam terowong menyelesaikan persoalan lebih cepat daripada mana-mana perbandingan konfigurasi. Jalankannya dari get laluan semasa klien yang diluluskan membuat satu permintaan, dan simpan kedua-dua fail.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Tangkapan pertama sepatutnya menunjukkan perbualan luar meninggalkan antara muka yang anda maksudkan, dengan alamat sumber yang dijangka. Yang kedua sepatutnya menunjukkan perbualan dalam sekali sahaja, tidak berganda, dengan alamat klien sebagai sumber dan pelayan aplikasi sebagai destinasi. Carian laluan mengesahkan jadual mana yang akan digunakan oleh penghala untuk pasangan sumber dan destinasi itu, dan di situlah kesilapan dasar biasanya muncul. Jika mana-mana tangkapan tidak muncul, titik keputusan ada di tempat lain dan bukan di tempat peraturan dipasang, dan pembetulannya milik tempat itu dan bukan padanan yang lebih luas.