VPN minn sit għal sit ibbażat fuq rotot jew fuq politika: x'inhu differenti
IPsec ibbażat fuq politika jagħżel it-traffiku b'selettur; dak ibbażat fuq rotot jibgħatu minn interface tal-mina. It-tnejn għadhom jeħtieġu regoli tal-firewall u rotta tar-risposta.
Iż-żewġ disinji jipproteġu l-istess traffiku bl-istess makkinarju IPsec, u jiddifferixxu f'dak li jiddeċiedi liema pakkett jidħol fil-mina. F'konnessjoni bbażata fuq politika dan ix-xogħol jagħmluh is-seletturi tat-traffiku nnegozjati; f'waħda bbażata fuq rotot jagħmlu rotta li tindika lejn interface tal-mina. Li tħawwad it-tnejn jipproduċi l-ħajta ta' appoġġ familjari fejn il-mina tirrapporta ruħha stabbilita waqt li l-applikazzjoni ma tasal imkien. Id-distinzjoni hija l-aktar importanti meta żżid netwerk, tħaddem protokoll tar-routing jew tinnaviga fi triq li toħroġ bil-kwiet mill-ħruġ żbaljat.
Żewġ modi kif tiddeċiedi x'jidħol fil-mina
VPN ibbażat fuq politika jibni politika tas-sigurtà li taqbel mal-prefissi tas-sors u tad-destinazzjoni, imbagħad jikkripta dak kollu li jaqbel. Il-pari irid jinnegozja seletturi kompatibbli, għalhekk l-ambitu effettiv jispiċċa bħala l-intersezzjoni ta' dak li pproponew iż-żewġ naħat. Xejn barra minn dik l-intersezzjoni mhu protett, x'jikteb it-tabella tar-routing.
VPN ibbażat fuq rotot joħloq interface li tirrappreżenta l-mina u jħalli t-tabella tar-routing tibgħat traffiku fiha. Id-daemon IKE għadu jinstalla l-istat u l-politika għal kull interface, u dan huwa d-dettall li n-nies jaqbiżu meta jiddeċiedu li r-rotot issostitwew il-kriptaġġ. Iż-żewġ disinji jikkriptaw bl-IPsec; hija differenti biss il-mekkaniżmu tal-għażla.
Aqra t-tqabbil hawn taħt bħala sett ta' sinjali ta' falliment u mhux bħala tabella tal-punti, għax ebda kolonna ma tirbaħ waħedha.
| Aspect | Policy-based | Route-based |
|---|---|---|
| What selects traffic | Negotiated selectors | A route into the tunnel interface |
| Adding a network | Edit selectors on both peers | Add a route, widen the selector once |
| Dynamic routing | Awkward to run over the tunnel | Runs over the interface directly |
| Typical failure | Tunnel up, host outside the selector | Tunnel up, no route or wrong source |
Ibbażat fuq politika: is-selettur huwa l-kuntratt
Is-seletturi jiġu nnegozjati, mhux biss ikkonfigurati. Ipproponi 10.10.0.0/16 fuq naħa u 10.10.1.0/24 fuq l-oħra, u l-assoċjazzjoni tkopri dak li fuqu waqfet in-negozjazzjoni filwaqt li kull host ieħor jibqa' barra.
Aqra l-istat installat minflok il-fajl tal-konfigurazzjoni. Fuq pari Linux, it-tabelli tal-kernel stess huma l-verità bażika, u juru x'salva min-negozjazzjoni. Politika li ssemmi l-prefissi t-tajbin mingħajr stat li jaqbel tfisser li l-assoċjazzjoni qatt ma qamet. Stat imqabbad ma' politika għall-prefiss żbaljat hija l-problema opposta, u tipproduċi l-mina li tidher sana waqt li subnetwork wieħed ma jasal imkien.
sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sasQabbel iż-żewġ output mal-prefissi li taħseb li qed tipproteġi. Dak it-tqabbil wieħed isolvi ħafna mill-każijiet ta' mina li taħdem ma' server li ma jintlaħaqx. Juri wkoll liema pari għandu jinbidel, għax in-nuqqas ta' qbil normalment jidher biss f'direzzjoni waħda.
Ibbażat fuq rotot: l-interface huwa l-kuntratt
Interface XFRM jagħti lill-mina isem u identità, u t-traffiku jasal għalih għax it-tabella tar-routing tgħid hekk. Diversi prefissi remot imbagħad isiru problema tar-routing u mhux problema tas-selettur, u protokoll tar-routing jista' jxandirhom. Dan huwa l-vantaġġ veru, mhux il-kriptaġġ.
L-interface ma jneħħix il-ħtieġa ta' politika. Id-daemon jinstalla regoli għal kull interface marbuta mal-identità tal-interface, għalhekk pakkett li jasal fuq l-interface żbaljat xorta jonqos. Indirizz tas-sors li l-pari mhux se jaċċetta jonqos ukoll, anki b'rotta perfetta. Ibbażat fuq rotot ifisser li r-rotta tiddeċiedi d-dħul, mhux li l-politika sparixxiet.
sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10Osserva l-kontaturi tal-interface ladarba r-rotta tkun f'postha. Rotta li teżisti waqt li l-kontaturi jibqgħu f'żero tfisser li xejn mhu qed jiġi mqabbel fil-mina, li normalment jindika stat nieqes aktar milli rotta nieqsa.
Fejn iż-żewġ disinji verament jiddevjazzjoni
Iż-żieda ta' netwerk hija l-aktar test nadif ta' liema mudell jaqblik. Disinn ibbażat fuq rotot iżid rotta u jwessa' s-selettur darba biss, filwaqt li disinn ibbażat fuq politika jeditja pari ta' prefissi fuq iż-żewġ pari u jerġa' jinnegozja. Żewġ subnets stabbli jagħmlu dik l-editjar trivjali, u għoxrin jagħmluha proġett.
Ebda mudell ma jissostitwixxi firewall, u t-tqabbil normalment jieqaf qabel dan il-punt. Selettur wiesa' jew rotta wiesgħa jiddeċiedu x'inhu kriptat, mhux x'inhu permess.
L-imġiba tal-MTU tvarja wkoll fil-prattika. L-inkapsulament inaqqas il-payload użabbli, u interface ibbażat fuq rotot iġorr il-MTU tiegħu stess, għalhekk l-issikkar tal-MSS fiż-żewġ gateways jevita s-sintomu tal-toqba sewda fejn jaslu tweġibiet żgħar u jisparixxu dawk kbar. Il-mini bbażati fuq politika jiltaqgħu mal-istess ħajt min-naħa l-oħra, għax selettur ma jgħid xejn dwar id-daqs tal-pakkett. Issettja l-issikkar apposta minflok ma tagħti l-ħtija lill-pari.
Migrazzjoni mingħajr ma titlef it-triq tar-risposta
Irreġistra l-pari ta' prefissi eżistenti qabel ma tibdel xejn, imbagħad ċaqlaq triq waħda tal-applikazzjoni u osservaha mill-bidu sat-tmiem. Mina li tistabbilixxi ruħha mhijiex mina li tibgħat, u d-differenza tidher fid-direzzjoni tar-risposta.
Meta l-pari jikkonnettjaw imma l-hosts tal-LAN ma jistgħux, iċċekkja r-rotta tar-risposta u l-indirizz tas-sors li se juża l-host remot. Host b'żewġ interfaces jista' jwieġeb mill-ħażin, u l-ebda bidla fis-selettur ma ssewwi dan. Aqbad traffiku fiż-żewġt itruf qabel ma tedita l-algoritmi.
ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-connsŻomm triq tal-ġestjoni li ma tiddependix mill-mina waqt li taħdem. Ir-rollback huwa eħfef meta l-aċċess tal-gateway stess ma jivvjaġġax fuq il-konnessjoni li qed tinnaviga fiha.