Siapa sebenarnya yang menjawab pada alamat khusus VPN itu?

Alamat yang terbiar tanpa digunakan dalam peruntukan organisasi bukan pendengar, dan menambahnya pada tembok api tidak mencipta satu pun. Sesuatu perlu menamatkan IKE pada alamat itu, dan mekanismenya berbeza bergantung sama ada gateway memiliki alamat itu atau peranti huluan menterjemahkannya. Laluan paket itulah yang membezakan kedua-duanya, dan ia menentukan ciri platform mana yang anda perlukan sebelum sesiapa membuka permintaan perubahan. Modelkan laluan dahulu, kemudian pilih.

Laluan paket di sebalik alamat

Rakan sebaya menghantar IKE ke alamat yang diberi kepadanya, pada UDP 500 atau pada UDP 4500 apabila lintasan NAT terlibat. Peranti mana pun yang memegang alamat itu pada laluan sama ada menerima datagram secara setempat dan menjawabnya, atau memajukannya ke tempat lain. Itulah dua kemungkinan sahaja, dan segala yang lain dalam artikel ini mengikut mana yang benar.

Menerima secara setempat bermaksud wujud soket pada peranti itu, terikat pada alamat tersebut. Memajukan bermaksud datagram ditulis semula dan dihantar terus ke titik hujung lain, yang kemudian memegang soket itu. Peraturan tembok api yang membenarkan UDP 500 tidak memberitahu anda apa-apa tentang mana antara keduanya yang berlaku.

Tulis rekod itu sebelum anda menyentuh apa-apa: alamat yang dihubungi rakan sebaya, cara rangkaian huluan menyampaikannya, antara muka setempat atau titik hujung logik yang menerimanya, dan proses yang menjawab IKE. Empat baris, dan setiap satu boleh disemak. Apabila salah satunya tidak diketahui, yang tidak diketahui itu ialah kerja reka bentuk dan bukan perincian pelaksanaan untuk diselesaikan kemudian. Mengisinya selepas permintaan perubahan diluluskan ialah cara peraturan terjemahan ditambah pada peranti yang salah.

Model A: gateway memiliki alamat itu

Dalam model pertama gateway memegang alamat itu sendiri, sama ada sebagai alamat sekunder pada antara muka sedia ada, sebagai alamat pada antara muka khusus, atau sebagai loopback yang disokong platform sebagai titik hujung terowong. Itu tiga ciri berbeza dengan tiga laluan konfigurasi berbeza, dan platform yang menyokong satu mungkin tidak menyokong yang lain.

Sahkan platform dan keluaran menyokong susunan tepat itu sebelum anda mereka bentuk di sekelilingnya. Blok terhalakan, alamat tambahan pada antara muka dan titik hujung loopback tidak boleh ditukar ganti, dan dokumentasi satu keluaran tidak menjanjikan keluaran berikut berkelakuan sama.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Soket yang mendengar itulah buktinya. Jika tiada apa terikat pada alamat itu, gateway bukan penamat apa pun kata jadual penghalaan, dan tangkapan paket akan menunjukkan datagram tiba tanpa apa-apa yang menjawabnya.

Jangan letak antara muka kedua dalam subnet yang sudah wujud di tempat lain dalam topologi dan jangan andaikan platform akan menyelesaikannya. Subnet antara muka yang bertindih menghasilkan pemilihan sumber yang kabur dan, pada banyak platform, penolakan sepenuhnya untuk dikonfigurasi.

Model B: peranti huluan menterjemahkannya

Dalam model kedua tembok api huluan memegang alamat khusus itu dan memajukan trafik ke gateway VPN yang berbeza. Itu terjemahan destinasi dengan laluan balik, dan ia reka bentuk yang sah sepenuhnya selagi didokumenkan sedemikian.

Yang bukan, ialah bukti bahawa peranti huluan telah memperoleh soket VPN setempat. Terjemahan memajukan paket; ia tidak menjadikan kotak atas sebagai penjawab IKE. Jika peraturan huluan dibuang atau laluan baliknya terputus, VPN berhenti walaupun gateway sihat dan pendengarnya sendiri utuh.

Rekod kedua-dua alamat: yang dihubungi rakan sebaya dan yang benar-benar dilihat gateway. Kemudian rekod pengangkutan dan laluan balik, kerana terjemahan yang berfungsi untuk UDP 500 tetapi tidak untuk ESP berkapsul akan bersambung dan kemudian gagal membawa trafik, yang merupakan kegagalan mengelirukan untuk dinyahpepijat kemudian.

Identiti bukan alamat luar

IPsec memisahkan titik hujung terowong daripada trafik yang dilindunginya, dan seni bina menyimpan keputusan itu di tempat berbeza. Menukar alamat yang dihubungi rakan sebaya tidak secara automatik menukar awalan dalaman mana yang dibenarkan, laluan mana yang dipasang, atau sumber mana yang boleh dicapai oleh sesi.

Identiti yang disahkan adalah berasingan lagi. IKEv2 membawa muatan identiti dan pertukaran pengesahan yang tidak perlu sepadan dengan alamat paket luar, dan itulah sebabnya reka bentuk yang diterjemah masih boleh mengesahkan dengan betul.

Kebebasan itu berguna dan juga perangkap. Dua nama DNS yang menyelesaikan kepada satu pendengar biasa tidak memilih backend VPN berbeza, dan sijil yang menamakan satu identiti tidak akan memuaskan rakan sebaya yang menjangka yang lain. Sahkan apa yang disahkan oleh rakan sebaya sebelum anda menganggap alamat sahaja yang menentukannya.

Terima reka bentuk dengan memerhati satu sambungan

Periksa ke mana sambungan dibenarkan yang baharu benar-benar dihantar, identiti mana yang menjawab, dan aliran peribadi mana yang kemudian dibenarkan. Tiga pemerhatian, tiga lapisan berbeza, dan carian umum alamat yang berjaya tidak menguji satu pun daripadanya.

Kekalkan juga kes negatif: rakan sebaya yang tidak sepatutnya diterima, atau awalan dalaman yang tidak sepatutnya boleh dicapai, disahkan selepas perubahan. Rekod yang anda tulis pada mulanya itulah yang memungkinkan ujian itu tanpa membina semula reka bentuk daripada ingatan.

Inti semua ini ialah membenarkan pemilik rangkaian memilih kaedah peruntukan yang disokong dan bukannya bergantung pada dakwaan umum tentang apa yang setiap tembok api boleh lakukan dengan alamat tambahan. Dakwaan itulah tempat reka bentuk ini tersasar, kerana ia kedengaran munasabah pada setiap platform dan secara amnya tidak benar pada mana-mana. Rekod empat baris menyelesaikannya untuk platform anda dalam sepuluh minit.