Kif tippjana ġabra ta' indirizzi tal-klijenti VPN li taqbel

Ibda fil-qasam tal-ġabra fuq is-server VPN, mhux fi spreadsheet. Kull ma ttajpja hemmhekk isir l-ispazju tal-indirizzi intern għal kull klijent li jgħaqqad wara, u jrid jikkoeżisti mal-LAN li jilħqu dawk il-klijenti, mas-siti rrutati warajh u ma' kull indirizz li l-klijent diġà għandu d-dar. Qabbad klijent wieħed hekk kif il-ġabra tiġi salvata, għax dak l-ewwel konnessjoni jgħidlek jekk il-valur jaħdimx fil-prattika. Minn hemm il-mixja timxi 'l barra: l-indirizz li rċieva l-klijent, it-triq li tieħu tweġiba u r-rekord li tħalli warajk.

Ibda fil-qasam tal-ġabra, qabel ma jgħaqqad xi klijent

Kull prodott juriha b'mod differenti, għalhekk sib l-oġġett li verament jassenja indirizzi. OpenVPN għandu direttiva tal-ġabra fuq in-naħa tas-server li tagħti l-indirizz ħieles li jmiss, gateway IKEv2 għandu taqsima tal-ġabra marbuta mal-konfigurazzjoni tal-pari, u WireGuard m'għandux lanqas waħda għax kull pari jġorr l-indirizz tiegħu fil-fajl tal-konfigurazzjoni tiegħu. Direttiva tal-ġabra u indirizz għal kull pari mhumiex interkambjabbli, u t-tħarriġ tal-ħażin iħassar il-bqija tal-mixja.

Ladarba jkollok il-qasam, elenka l-firxiet li diġà jeżistu: il-LAN tal-uffiċċju, kull sit irrutat, il-VPC tal-cloud u kull ġabra oħra li għadha fis-servizz. L-immappjar jiġi deċiż bl-aritmetika tal-prefiss, mhux minn jekk in-numri tal-host jidhrux familjari, għalhekk qabbel l-aggregat ma' kull waħda minn dawk il-firxiet. Żewġ firxiet li t-tnejn jidhru bħal 10.x mhumiex ta' ħsara meta l-aggregati tagħhom ma jaqtgħux lil xulxin u huma inċident ta' appoġġ meta jaqtgħu.

Imbagħad iddeċiedi jekk l-indirizz huwiex funzjoni ta' min jgħaqqad jew ta' meta jgħaqqdu. L-assenjazzjoni dinamika tagħti dak li hu ħieles, filwaqt li l-assenjazzjoni skont l-identità torbot indirizz fiss ma' kredenzjali. Ikteb l-għażla, għax tbiddel kif għandha tidher konnessjoni mill-ġdid aktar tard.

Aqra l-indirizz li l-klijent fil-fatt irċieva

Qabbad klijent wieħed u aqra dak li jirrapporta t-tunnel, mhux dak li wegħdet il-ġabra. Il-klijent juri l-indirizz intern tiegħu fl-istat tal-konnessjoni, u fuq Linux l-interface iġorru direttament.

Qabbel dak l-indirizz mal-firxa li salvajt. Jekk jinsab barra l-firxa, qed tara triq tal-assenjazzjoni differenti minn dik li ħarreġt. Iċċekkja wkoll it-tul tal-prefiss, għax klijent b'/32 m'għandux pari fuq il-link u jibgħat kull destinazzjoni mir-rotta tiegħu prestabbilita.

ip -4 addr show tun0
ip route get 192.168.50.20

Klijent li jgħaqqad minn router tad-dar li juża l-istess firxa se jgħaqqad u mbagħad kważi ma jilħaqx xejn. Il-klijent iżomm ir-rotta lokali tiegħu għal dak il-prefiss, għalhekk l-indirizz tat-tunnel jaħbat man-netwerk warajh u t-traffiku joħroġ mill-interface żbaljata. Dak il-każ ma jistax jiġi msewwi fuq is-server; il-mediċina dokumentata hi li n-netwerk tad-dar jiġi nnumerat mill-ġdid jew li tintgħażel firxa tal-ġabra 'l bogħod biżżejjed biex il-ħabtiet jibqgħu rari. Innota kemm il-falliment kif ukoll il-mediċina, għax il-help desk se jerġa' jiltaqa' miegħu.

Qabbad mill-ġdid l-istess klijent u osserva l-indirizz. Ġabra dinamika tista' tirritorna l-istess valur jew wieħed differenti u t-tnejn huma korretti, filwaqt li ġabra skont l-identità li tbiddel l-indirizz ma tirrispettax l-irbit. Dak iċ-ċekk jieħu sekondi u jiddeċiedi jekk il-mod li nnotajt fl-ewwel taqsima huwiex il-mod fis-seħħ.

Segwi tweġiba lura mis-servizz

Il-ġabra taħdem biss meta t-tweġibiet jistgħu jivvjaġġaw lura lejha. Servizz fuq il-LAN iwieġeb l-indirizz intern, għalhekk il-gateway tiegħu għandu bżonn rotta għall-ġabra jew traduzzjoni quddiem is-servizz. Meta talba tasal mit-tunnel u t-tweġiba toħroġ minn triq differenti, firewall tal-istat jew verifika tat-triq maqluba tarmiha, u l-klijent jara servizz li jgħaqqad u mbagħad jiddendel. Poġġi l-ġabra fid-disinn tar-routing bħala blokka waħda li tista' tiġi miġbura flimkien minflok iżżid rotot għal kull host.

It-traduzzjoni tbiddel dak li jara l-bqija tas-sistema. Meta s-sors jerġa' jinkiteb, l-indirizz fil-firewall tal-host u fil-log tal-applikazzjoni huwa dak tradott, għalhekk regola miktuba kontra l-indirizz tal-ġabra ma taqbel ma' xejn u linja tal-log ma tistax tiġi traċċata lura għal klijent. Id-dokumentazzjoni ta' strongSwan dwar it-trasferiment tkopri n-nofs tan-naħa tas-server ta' dik it-triq għal gateway IKEv2. DNS iġorr l-istess restrizzjoni, għax isem li jiġi riżolt f'indirizz li l-klijent ma jistax jilħaq ifalli aktar tard u x'imkien ieħor.

Żewġ klijenti, imbagħad revoka waħda

Qabbad żewġ klijenti fl-istess ħin u aqra ż-żewġ indirizzi. Iridu jkunu distinti, użabbli u fil-ġabra, u kull wieħed irid jilħaq is-servizz li hu maħsub għalih. Ġabra li tagħti indirizzi doppji normalment tidher hawn u mhux fl-ewwel test b'klijent wieħed.

Irrevoka kredenzjali waħda waqt li l-klijent l-ieħor jibqa' mqabbad, imbagħad ipprova s-servizz mill-klijent li baqa' ħaj. Revoka li tfixkel is-sessjoni l-oħra tindika stat maqsum, ħafna drabi kredenzjali waħda jew indirizz wieħed użat mill-ġdid bejn apparati. Qabbad mill-ġdid il-klijent irrevokat u kkonferma li jiġi miċħud minflok ma jingħata l-indirizz meħlus.

Iffinalizza b'destinazzjoni li għandha tiġi miċħuda. Klijent li jilħaq kollox ġie mqabbad, mhux ittestjat.

Ikteb l-erba' valuri fejn isibhom il-bidla li jmiss

Ir-rekord hu qasir: il-firxa u l-prefiss tal-ġabra, il-mod tal-assenjazzjoni, it-triq tar-ritorn jew it-traduzzjoni li qed tintuża, u l-ambitu DNS li jwieġeb għal dawk id-destinazzjonijiet. Poġġih ħdejn il-konfigurazzjoni tas-server u mhux fi ticket, u datih. Kull min aktar tard ibiddel waħda mill-erbgħa jeħtieġ it-tlieta l-oħra quddiemu, għax bidla fid-daqs tal-ġabra tkisser ir-rotta u bidla fir-rotta tkisser it-tweġiba tad-DNS.

Żomm miegħu n-nota tal-propjetà: il-firxa tat-tunnel tappartjeni lis-server VPN, u riżerva magħmula fl-ambitu DHCP tal-LAN ma tirriżervax xejn għal klijent ġewwa t-tunnel. Dik il-linja waħda tipprevjeni l-aktar xogħol mill-ġdid komuni, fejn xi ħadd iżid riżerva u jistenna li l-indirizz tat-tunnel isegwiha.