NIC waħda jew tnejn? Kif tiddetermina t-tqassim tal-interface ta' server VPN

Adapter fiżiku wieħed biżżejjed għal ħafna servers VPN, u lanqas dan mhu disinn universali. Il-konnessjoni kriptata tasal fuq dak l-adapter, il-proċess VPN jiddekriptaha, u mbagħad it-traffiku intern joħroġ minn interface virtwali qabel ma jasal għal servizz lokali jew LAN routjata. Jekk dan jaħdimx jiddependi minn tliet kundizzjonijiet: fejn tinsab id-destinazzjoni, jekk il-LAN għandhiex triq lura lejn il-pool tal-klijenti, u jekk rabta fiżika waħda kondiviża tagħtikx l-iżolament li qed tiddikjara. Wieġeb għal dawn it-tlieta u l-għadd ta' adapters jiġi warajhom.

It-tliet kundizzjonijiet li jiddeċieduha

L-ewwel kundizzjoni hija d-destinazzjoni. Servizz fuq il-host VPN stess jintlaħaq biss mill-interface tat-tunnel, filwaqt li host fuq il-LAN jeħtieġ forwarding u triq lura. It-tieni kundizzjoni hija dik it-triq lura, għax il-mezz tal-LAN irid ikun jaf kif jasal għall-pool tal-klijenti, jew b'rotta jew b'traduzzjoni fuq is-server.

It-tielet kundizzjoni hija s-separazzjoni. Adapter wieħed ifisser li kull pakkett, kriptat jew le, jaqsam rabta waħda u normalment katina waħda ta' politika, għalhekk talba għall-iżolament li tiddependi minn ħardwer separat ma tiġix sodisfatta minn interface waħda. Dan huwa fatt dwar it-triq, mhux dwar kif huwa kkonfigurat is-sistema operattiva. Xorta tista' tiffiltra t-traffiku tat-tunnel, imma ma tistax tiddikjara fruntiera li m'għandekx.

Xejn minn dawn it-tlieta mhu dwar l-għadd ta' ports fuq il-chassis. Huma dwar ir-routing, is-sjieda tal-indirizzi u kemm id-disinn jiddependi mis-separazzjoni fiżika.

Żewġ adapters jibqgħu għażla leġittima meta żoni fiżiċi, uplinks separati, throughput jew triq ta' rkupru barra mill-medda jiġġustifikawhom. Dawn huma rekwiżiti konkreti, u jkun tajjeb li jingħaduhom qabel ma xi ħadd jordna l-ħardwer.

Meta s-servizz jaħdem fuq il-host VPN

L-aktar każ sempliċi ma jeħtieġ l-ebda forwarding. Id-daemon jirċievi l-pakketti tal-klijent fuq l-interface tat-tunnel u jgħaddihom lil socket lokali, u t-tweġiba terġa' lura mill-istess interface. Għall-host, l-indirizz tal-pool tal-klijenti huwa indirizz lokali veru.

Xorta waħda żewġ affarijiet iridu jkunu tajbin: is-servizz irid jisma' fuq indirizz li t-tunnel jista' jasal għalih, u l-firewall tal-host irid jaċċetta t-traffiku li jasl fuq l-interface tat-tunnel. It-tnejn jidhru fil-kmandi hawn taħt.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Li torbot servizz biss mal-indirizz pubbliku, jew li tiffiltra l-interface tat-tunnel bi żball, jipproduċi konnessjoni li tasal sal-host u mbagħad tmut. Dan jidher bħal ħsara tal-VPN u normalment hija deċiżjoni dwar socket jew firewall.

Meta d-destinazzjoni tkun fuq il-LAN

Hawnhekk id-disinn b'adapter wieħed jikseb ir-reputazzjoni li huwa diffiċli. Is-server irid jibgħat il-pakketti tal-klijent lejn il-LAN, filwaqt li l-mezz tal-LAN irid jibgħat it-tweġibiet lura lejn il-pool tal-klijenti. Jew iġġorr dak il-pool bħala rotta fuq il-LAN, jew tittraduċi l-indirizz tas-sors fuq is-server biex it-tweġibiet jerġgħu lura għas-server stess.

Iż-żewġ tweġibiet huma leġittimi u jfallu b'mod differenti. Rotta lura żżomm l-indirizz oriġinali tal-klijent viżibbli għad-destinazzjoni, li huwa tajjeb għall-logs u ħażin għal regoli tal-firewall li jassumu indirizzi tal-LAN. It-traduzzjoni żżomm il-LAN sempliċi u taħbi l-identità tal-klijent mid-destinazzjoni.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Triq asimmetrika hija s-sintomu klassiku: it-talba tal-klijent tasal, it-tweġiba toħroġ minn router ieħor, u l-konnessjoni tispiċċa fiż-żmien mingħajr ebda żball fit-tnejn trufijiet. Aqbad it-traffiku fuq iż-żewġ naħat qabel ma tikkonkludi xi ħaġa dwar it-tunnel.

Għaliex alias ma joħloqx it-tieni żona

Żieda ta' tieni indirizz mal-istess adapter, jew ħolqien ta' interface dummy li timita t-tieni port, tbiddel ftit ħafna. Il-pakketti xorta joħorġu mill-istess rabta fiżika, mill-istess port tas-switch u normalment mill-istess katina tal-firewall, għalhekk bejniethom ma tinħoloq l-ebda fruntiera ġdida. Dan huwa kumdità tal-konfigurazzjoni, mhux segmentazzjoni. Li tittrattah bħala fruntiera taż-żona huwa l-mod kif talba għall-iżolament tibqa' biss fuq il-karta.

Żona separata teħtieġ separazzjoni reali fit-triq, u din il-ħtieġa tissodisfa t-tieni adapter. Jekk regola tiddependi mill-fatt li t-traffiku lejn il-VPN qatt ma jaqsam dominju tax-xandir mat-traffiku lejn il-LAN, kejbil wieħed ma jistax jagħti dik il-proprjetà, tkun kif tkun indirizzata l-host.

Fejn prodott jiddokumenta topoloġija b'ħafna interfaces għal mod speċifiku, segwi d-dokumentazzjoni ta' dak il-prodott minflok toħloq soluzzjoni ta' ċirkomvenzjoni. Il-fornituri wkoll ibiddlu t-topoloġiji appoġġjati bejn il-verżjonijiet, li hija raġuni oħra biex taqra l-gwida attwali minflok screenshot ta' wizard qadim.

Iċċekkja t-tqassim mal-traffiku li tippermetti

Elenka l-klassijiet ta' traffiku li s-server għandu jġorr: klijent lejn host, klijent lejn LAN, host lejn LAN, u l-konnessjoni esterna kriptata. Kull klassi għandha sors, destinazzjoni u interface, u t-tqassim irid jissodisfa l-erbgħa fl-istess ħin. Disinn li jimmaniġġja tlieta minnhom normalment huwa dak li jiġġenera t-tickets.

Imbagħad ikkonferma l-interfaces reali u l-qabda reali, mhux id-dijagramma fid-dokument tad-disinn. Il-kmandi hawn taħt jistampaw iż-żewġ veduti.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Jekk il-qabda ta' barra turi t-traffiku kriptat u l-qabda ta' ġewwa turi t-traffiku dekriptat fuq l-interface tat-tunnel waqt li l-adapter fiżiku jġorr it-tnejn, NIC waħda qed tagħmel ix-xogħol. Jekk il-qabda ta' ġewwa vojta, il-problema tinsab fit-tunnel jew fir-regoli tal-forwarding, mhux fl-għadd ta' adapters. Iddeċiedi t-topoloġija minn dawk iż-żewġ qabdiet u t-tabella tar-routing, u l-bidla li jmiss ikollha ma' xiex titqabbel.