VPN imdaħħal f'ieħor: liema mina ġġorr il-konnessjoni ta' barra?

Żewġ klijenti VPN li jaħdmu fl-istess ħin ma jipproduċux mina mdaħħla f'oħra; jipproduċu żewġ mini u argument dwar ir-rotta. Mina mdaħħla f'oħra teżisti meta l-konnessjoni tal-klijent ta' ġewwa mas-server tiegħu stess tkun hija stess miġrura mill-mina ta' barra, u dan huwa arranġament li tibnih apposta. Jekk tagħmilha sew, is-server ta' ġewwa jara l-indirizz tas-server ta' barra; jekk tagħmilha ħażin, klijent wieħed jerġa' jikkonnettja bil-kwiet madwar l-ieħor. Tliet kundizzjonijiet jiddeċiedu jekk l-innestjar huwiex veru jew aċċidentali.

Tliet kundizzjonijiet jiddeċiedu l-innestjar

L-ewwel hija liema punt tat-tmiem għandu bżonn liema triq. Semmi l-indirizz tas-server ta' ġewwa, semmi l-indirizz tas-server ta' barra, u ddikjara b'mod espliċitu li s-server ta' ġewwa jintlaħaq biss permezz tal-mina ta' barra. Kull ħaġa oħra tinħareġ minn dik is-sentenza, inkluż liema rotot imorru f'liema tabella.

It-tieni hija jekk tistax tara t-triq f'kull saff. Jekk ma tistax tistaqsi lill-kernel liema rotta tuża destinazzjoni partikolari, qed tiddeduċi l-katina minn IP tal-ħruġ finali, u dan huwa eżattament il-prova li ma tistax tiddistingwi innestjar minn koinċidenza.

It-tielet hija x'jiġri meta taqa' l-mina ta' barra. Il-mina ta' ġewwa tista' tieqaf magħha, terġa' tikkonnettja fuq in-netwerk ordinarju jew tibqa' mblukkata sakemm terga' lura t-triq ta' barra, u t-tlieta huma politiki difendibbli. Mhumiex l-istess politika, u l-imġiba awtomatika tal-biċċa l-kbira tal-klijenti hija t-tieni waħda. Klijent li jerġa' jikkonnettja l-punt tat-tmiem tiegħu fuq in-netwerk fiżiku filwaqt li juri konnessjoni f'saħħitha huwa l-aktar mod komuni li bih katina maħsuba ssir bil-kwiet żewġ mini mhux relatati.

Kundizzjoni waħda: liema punt tat-tmiem għandu bżonn liema triq

ip route get 203.0.113.10 twieġeb dik il-mistoqsija direttament: tipprintja r-rotta, l-indirizz tas-sors u l-interface li l-kernel juża bħalissa għal dik id-destinazzjoni.

Ħaddimha għas-server ta' ġewwa qabel ma jibda l-klijent ta' ġewwa u għal darb'oħra wara, u qabbel. Jekk it-tweġiba tinbidel mill-interface fiżika għall-interface tal-mina ta' barra, l-innestjar huwa veru f'dak il-mument. Jekk ma tinbidilx, il-klijent ta' ġewwa qed jikkonnettja direttament, jaqbel x'jaqbel il-pannell. Errepeti għall-indirizz tas-server ta' barra, li xorta għandu jiġi riżolt permezz tal-interface fiżika, għax rotta li taqbad iż-żewġ punti tat-tmiem b'mod rikursiv hija l-ħsara li tieħu l-magna barra min-netwerk għal kollox.

Kundizzjoni tnejn: spezzjona t-triq f'kull saff

L-għażla tar-rotta hija aktar mit-tabella prinċipali fuq klijent modern. Regoli tal-politika jistgħu jibagħtu pakketti mmarkati lejn tabella oħra, klijent jista' jorbot is-socket tiegħu ma' interface, u container jew namespace għandu tabelli tiegħu stess. ip rule u ip route show table all huma l-mod kif issir taf liema minn dawn il-mekkaniżmi qed jaħdem.

Klijent li jqiegħed SO_MARK fuq is-socket tiegħu stess, jew li huwa kkonfigurat biex jorbot ma' apparat speċifiku, jevita r-rotta awtomatika li ħsibt li ħejjejt. Din hija karatteristika u mhux difett, u tfisser li l-unika verifika affidabbli hija dik li taħdem fl-istess namespace tal-klijent. Jekk il-klijenti jaħdmu f'containers, ħaddem il-verifiki f'dawk il-containers minflok fuq il-host.

Kundizzjoni tlieta: x'jiġri meta taqa' l-mina ta' barra

L-imġiba f'każ ta' ħsara teħtieġ deċiżjoni, mhux valur awtomatiku. Ikteb x'għandu jiġri lill-mina ta' ġewwa meta tisparixxi dik ta' barra, imbagħad ġiegħel il-klijenti jagħmlu dan.

L-għażliet huma konkreti. Li twaqqaf il-klijent ta' ġewwa meta tisparixxi t-triq ta' barra tagħti katina nadifa u interruzzjoni ovvja. Li tħallih jerġa' jikkonnettja direttament tagħti disponibbiltà u tneħħi bil-kwiet il-proprjetà li għaliha nbniet il-katina. Li timblokka sakemm terga' lura t-triq ta' barra hija l-aktar stretta u l-aktar tedjanti biex tħaddimha, għax kull tħawwid fil-mina ta' barra jsir inċident viżibbli.

Ittestja t-tlieta b'traffiku bla ħsara u b'ħsara maħsuba fil-mina ta' barra, għax il-qari tal-konfigurazzjoni ma jgħidlekx liema għandek. Oqtol il-mina ta' barra, ara x'jagħmel il-klijent ta' ġewwa, u erġa' iċċekkja r-rotta waqt li tkun 'l isfel. Imbagħad ġib lura l-mina ta' barra u kkonferma li l-katina terġa' tifforma minflok ma tħalli lill-klijent ta' ġewwa fit-triq diretta li għażel sadanittant.

X'ma jagħtikx il-katina

Saffi żejda jżidu punti tat-tmiem, ċwievet u modi ta' ħsara; ma jżidux garanzija ta' anonimità u ma jagħmlux lill-operatur ta' barra inkapaċi li jara li teżisti mina. Kull dikjarazzjoni dwar x'tipproteġi l-innestjar trid issemmi l-osservatur li kontra tiegħu tipproteġi.

Il-kunsinna hija dokument qasir u mhux konnessjoni li taħdem: liema punt tat-tmiem juża liema triq, x'jiġri f'ħsara ta' barra, u t-tliet kmandi li juru l-istat attwali. Id-dokumentazzjoni ta' strongSwan dwar it-trasferiment hija referenza utli għal kif traffiku tal-mina jiġi ttrasferit bejn interfaces fuq host Linux. Erġa' ħaddem il-verifiki wara kull aġġornament tal-klijent, għax il-valuri awtomatiċi li pproduċew il-katina tiegħek mhumiex kuntratt. Mina mdaħħla f'oħra li ma tistax tispezzjonala hija xniegħa b'dawl tal-istat.