L2TP, GRE jew IPsec: liema saff għandu jġorr is-sessjoni?

Żewġ mistoqsijiet jiġu mħabbla kull darba li L2TP, GRE u IPsec jiġu fl-istess nota tad-disinn: liema sessjoni qed inġorr, u liema saff jipproteġiha? Jekk l-ewwel waħda tkun ħażina, kollox 'l isfel jibqa' konsistenti mill-ġewwa waqt li jkun qed issolvi l-problema l-ħażina — kisi rrutat mibni fejn il-utenti kellhom bżonn id-dial-in, jew ċentru tad-dial-in li jieqaf minflok gateway minn sit għal sit. Il-worksheet hawn taħt iġġiegħel din id-distinzjoni qabel ma xi ħadd jidħol fi strument. Imlewha bl-ordni u kull linja ssir xi ħaġa li tista' tittestjaha waħedha.

Ibda mis-sessjoni, mhux mil-lista tal-protokolli

Utent remot li jżomm sessjoni PPP u kisi rrutat bejn żewġ gateways huma żewġ relazzjonijiet tan-netwerk differenti, anke meta t-tnejn jispiċċaw imgeżwrin f'IPsec. L-ewwel wieħed itemm konnessjoni għal kull utent u jeħtieġ allokazzjoni tal-indirizzi, awtentikazzjoni ta' persuna jew strument, u politika li ssemmi liema netwerks interni dak l-utent jista' jasal għalihom. It-tieni wieħed jgħaddi pakketti bejn siti li ħadd ma jagħmel dial-in fihom.

Ikteb sentenza waħda li ssemmi liema miż-żewġ qed tibni, imbagħad aqrah lura bħallikieku int il-persuna li jkollha tħaddmu. Jekk is-sentenza teħtieġ il-kelma «u», qed tibni t-tnejn, u l-worksheet teħtieġ żewġ kolonni minflok kolonna waħda ta' kompromess li sservi lil kull wieħed nofsu. Jekk issemmi utent iżda l-ebda ġabra ta' indirizzi, jew prefiss iżda l-ebda politika ta' trażmissjoni, is-sentenza għadha mhix kompluta. Il-kliem jinstema' burokratiku, iżda dan huwa l-irħas post fejn taqbad disinn li xort' oħra jinkixef b'tikket tal-help desk.

Agħti lil kull saff eżattament ħidma waħda

L2TPv2 iġorr sessjonijiet PPP bejn iż-żewġ punti tat-tarf tiegħu. PPP imexxi n-negozjati tal-konnessjoni u, meta jiġu nnegozjati, l-awtentikazzjoni tal-utent; L2TP ma jżidx ebda kriptografija, għalhekk daemon L2TP vojt ma jimplimenta ebda parti mir-relazzjoni tas-sigurtà tal-IPsec u jappartjeni biss ġewwa konnessjoni li diġà tafdaha.

GRE huwa inkapsulament bejn żewġ indirizzi. Iġorr pakketti tas-saff tan-netwerk minn fuq kisi loġiku u, waħdu, ma joffrix la kunfidenzjalità u lanqas identità awtentikata tas-sieħeb. Dan mhuwiex difett: l-intestatura ġiet iddisinjata sempliċi biex tibqa' rħisa fil-proċessar fuq ħardwer tat-trażmissjoni. Il-konsegwenza hija li GRE iwieġeb biss kif wieħed iċaqlaq dan il-pakkett bejn żewġ indirizzi u xejn aktar, u din hija eżattament il-mistoqsija li għandek tagħmillu.

Jibqa' IPsec bħala s-saff li jagħżel it-traffiku, jawtentika s-sħab u jikkripta dak li jingħadlu jipproteġi. Liema traffiku jipproteġi hija deċiżjoni tal-konfigurazzjoni li trid taqbel mal-inkapsulament li l-punti tat-tarf fil-fatt jiġġeneraw, għax politika miktuba għall-indirizz ta' barra tal-GRE tġib ruħha differenti minn waħda miktuba għall-prefissi interni. L-ispeċifikazzjoni tal-GRE iżżomm il-payload, l-intestatura GRE u l-protokoll tat-twassil ta' barra viżibbilment separati, u l-politika tiegħek teħtieġ l-istess separazzjoni.

Ikteb il-passaġġ tal-pakkett qabel il-konfigurazzjoni

Ħu pakkett wieħed u elenka kull intestatura li tiżdied, bl-ordni li biha tiżdied, u semmi l-istrument li jżidha. Għal utent tad-dial-in dan normalment huwa PPP ġewwa L2TP ġewwa IPsec; għal kisi ta' sit dan huwa l-pakkett IP intern ġewwa GRE ġewwa IPsec. Jekk żewġ strumenti jżidu l-istess intestatura, għandek linja loop jew mina duplikata, u ebda editjar tal-politika mhu se jsewwi dan.

L-istess lista tiddetermina l-MTU, għax id-daqs intern użabbli huwa l-MTU tal-passaġġ imkejjel nieqes l-intestaturi li għadek kif elenkajt u xejn aktar. Tikkupjax numru minn post fil-forum: żid l-ispiża tal-IP, UDP u ESP ta' barra, imbagħad GRE jew L2TP, imbagħad PPP fejn japplika, u naqqas mill-MTU tal-passaġġ li fil-fatt kejlt. Sintomi li jidhru biss fi trasferimenti kbar, jew sessjonijiet li jistabilixxu ruħhom u mbagħad imutu fl-ewwel risposta kbira, normalment jerġgħu lura għal dik iż-żieda magħmula bl-istima.

Ivverifika kull saff separatament, minn barra għal ġewwa

Mexxi l-verifiki bl-ordni u waqaf fl-ewwel waħda li tonqos. Kull linja twieġeb mistoqsija differenti, għalhekk falliment jindika kolonna waħda tal-worksheet minflok ma jgħidlek li l-mina hija miksura.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Fuq kaxxa Cisco l-ekwivalenti jiddependi mir-rwol, u s-sintassi eżatta tiddependi mill-pjattaforma u mill-verżjoni: show crypto session għas-sħab tal-IPsec, counters tal-interface għall-interface GRE jew tal-mina, u l-verifika VPDN jew PPP għar-rwol tad-dial-in. Sett ta' kmandi li jtemm PPP ma jipprovax xejn dwar l-appoġġ tal-GRE, u interface GRE li taħdem ma tipprovax xejn dwar is-servizz PPP, għalhekk ivverifika r-rwol li fil-fatt ikkonfigurajt u mhux dak fid-dijagramma.

Irreġistra kull output ħdejn il-linja tal-worksheet li tagħha huwa. Noti meħudin waqt li l-ħsara hija ħajja jiswew aktar minn topoloġija miġbuda mill-ġdid wara mill-memorja.

Irranġa l-ordni tat-twaqqigħ, imbagħad erġa' vverifika

It-twaqqigħ jimxi bl-oppost għal raġuni: oħroġ it-traffiku protett mill-politika tal-IPsec qabel ma tneħħi l-inkapsulament li għalih kienet miktuba, inkella l-politika tibqa' tindika lejn interface li m'għadhx teżisti u t-tagħbija tal-konfigurazzjoni li jmiss tfalli f'xi post li jidher mhux relatat. Fuq Linux dan ifisser tħassar id-dħul tal-istat u tal-politika qabel l-interface tal-mina; fuq router, tneħħi l-mappa kripto jew id-dħul tal-profil qabel il-mina.

Wara l-bini mill-ġdid, erġa' rrepeti l-erba' osservazzjonijiet tal-aċċettazzjoni wieħed wieħed: aċċessibbiltà ta' barra, assoċjazzjoni IPsec stabbilita, sessjoni PPP stabbilita fejn id-disinn jinkludi waħda, u trażmissjoni interna lejn indirizz tad-destinazzjoni reali. Dawl aħdar wieħed mhuwiex prova għat-tlieta l-oħra, u dak id-distakk huwa l-falliment li jibqa' l-itwal fil-produzzjoni — mina li hija 'l fuq, ikkriptata, u li ma tgħaddix xejn għax ir-rotta interna qatt ma ġiet miżjuda.

Żomm il-worksheet mimlija ħdejn il-konfigurazzjoni tal-istrument. Kull kolonna li ma tistax timla hija saff mingħajr ħidma assenjata, u saff mingħajr ħidma normalment huwa saff li m'għandux ikun fl-istekk.