VPN minn sit għal sit jew aċċess mill-bogħod: x’jgħaqqad kull wieħed
Wieħed jgħaqqad il-gateways, l-ieħor jgħaqqad l-apparati. Qabbel is-seletturi tat-traffiku mar-rotot, ippjana l-indirizzar, imbagħad ittestja l-ħolqien tal-passaġġ u l-politika minn host reali.
Iż-żewġ disinji jissejħu VPN u jsolvu problemi differenti. Tunnel minn sit għal sit jgħaqqad żewġ gateways, sabiex kull host warajhom jista’ jasal għall-indirizzi permessi fuq in-naħa l-oħra mingħajr ma jinstalla xejn. Tunnel ta’ aċċess mill-bogħod jgħaqqad apparati individwali ma’ netwerk, klijent wieħed kull darba. Dan it-tqabbil huwa importanti għax ħafna mill-iżbalji fl-implimentazzjoni jiġu milli jiġi kkonfigurat disinn wieħed filwaqt li tkun mistennija l-imġiba tal-ieħor, u s-sintomu normalment ikun timeout f’servizz li t-tunnel verament wasal għalih.
Żewġ disinji, żewġ fruntieri
| Site-to-site | Remote access | |
|---|---|---|
| Endpoints | two gateways | a gateway and each client |
| Who configures | network owners | each user or an MDM |
| Scope of reach | whatever the gateways route | whatever the client is granted |
| Broadcast discovery | not carried | not carried |
L-ebda disinn ma jestendi dominju ta’ xandir LAN. L-apparati fuq in-naħa l-oħra ma jidhrux f’lista ta’ skoperta lokali, u li tistenna dan huwa l-ewwel suppożizzjoni li trid titwarrab. L-ismijiet DNS privati li tippubblika apposta huma aktar prevedibbli minn kwalunkwe protokoll ta’ skoperta, u jibqgħu validi meta jinbidel il-fornitur.
Ħu 10.10.0.0/24 f’sit u 10.20.0.0/24 f’ieħor. Il-gateway A għandu bżonn rotta jew selettur tat-traffiku li jibgħat il-prefiss 10.20.0.0/24 fit-tunnel, u l-gateway B għandu bżonn ix-xbieha mera tiegħu. Il-hosts fuq iż-żewġ naħat imbagħad jużaw konnettività IP ordinarja u qatt ma jsiru jafu li teżisti tunnel. Dik l-inviżibilità hija l-karatteristika, u hija wkoll ir-raġuni għaliex il-ħsarat jidhru bħal żbalji ordinarji tan-netwerk u mhux bħal żbalji tat-tunnel.
Ibbażat fuq politika u bbażat fuq rotta mhumiex l-istess tunnel
F’implimentazzjoni IPsec ibbażata fuq politika, is-seletturi tat-traffiku nnegozjati jiddeterminaw eżattament liema pari ta’ sors u destinazzjoni huma protetti. Jekk tidher subnetwork ġdida wara gateway u l-ebda selettur ma jkopriha, it-tunnel jibqa’ għaddej u s-subnetwork il-ġdida sempliċement ma tinġarx. Fi disinn ibbażat fuq rotta, interface jirċievi t-traffiku u t-tabella tar-rotot tiddeċiedi, li jagħmel iż-żieda ta’ prefiss bidla fir-rotta u mhux negozjar mill-ġdid tat-tunnel.
StrongSwan jesponi ż-żewġ fehmiet direttament, u l-qari tagħhom flimkien huwa l-mod kif issir taf liema mudell verament implimentajt.
swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'Lista ta’ seletturi li tħalli barra l-prefiss li għandek bżonn tispjega l-ħsara mingħajr ebda qbid ta’ pakketti, u rotta li tindika l-interface ħażina tispjega l-ħsara mera fit-triq lura. Aqra t-tnejn qabel ma terġa’ tinnegozja xi ħaġa, għax tiġdid ta’ ċavetta mhux se jżid selettur li qatt ma kkonfigurajt.
Ippjana l-indirizzar qabel it-tunnel
Firxiet li jikkoinċidu huma l-iżball tad-disinn li ma jistax jiġi kkoreġut bil-konfigurazzjoni. Jekk iż-żewġ siti jużaw 192.168.1.0/24, host li għandu bżonn 192.168.1.50 ikollu żewġ kandidati u l-ebda mod kif jagħżel. It-tunnel se jawtentika, l-assoċjazzjonijiet tas-sigurtà se jiġu stabbiliti, u d-deċiżjoni tar-rotta xorta se tkun ħażina jew ambigwa.
Agħżel waħda minn tliet għażliet onesti: erġa’ nnumera sit wieħed, ittraduċi l-firxa li tikkoinċidi fil-gateway sabiex kull naħa tara prefiss distint, jew iċċedi għall-indirizzar dirett għal dawk il-hosts u ppubblika s-servizz b’mod ieħor. Kull waħda għandha spiża, u l-ewwel waħda normalment hija l-irħas fuq orizzont ta’ sentejn. Iddeċiedi qabel ma jeżisti t-tunnel, għax wara l-bidla tolqot kull apparat li għandu l-indirizz antik.
Issolvi wkoll il-kwistjoni tal-MTU kmieni. It-tunnel inaqqas il-piż utli, u disinn li jiddependi fuq il-frammentazzjoni jġib ruħu b’mod differenti minn wieħed li jiffissa l-MSS fil-gateways.
Il-ħolqien tal-passaġġ u l-politika jinsabu barra mit-tunnel
Il-gateway irid ikun lest li jgħaddi pakketti bejn l-interface tat-tunnel u l-interface LAN, u ż-żewġ direzzjonijiet għandhom bżonn politika li tippermetti s-servizz. F’Linux dawn huma żewġ settings separati, flimkien ma’ regoli tal-firewall li jiddeċiedu jekk il-fluss mgħoddi huwiex permess xejn.
sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPTIl-host li jirċievi jżid it-tielet saff: il-firewall tiegħu stess xorta irid jaċċetta klijent mis-subnetwork imbiegħed. File server li jippermetti biss il-/24 lokali tiegħu se jirrifjuta traffiku mgħoddi minn 10.20.0.7, kemm jidher tajjeb it-tunnel, u dan ir-rifjut jinqara faċilment bħala ħsara fl-indirizzar.
Ittestja minn host, mhux mill-gateway
Ping mibgħut mill-gateway stess jista’ jsegwi indirizz tas-sors u politika differenti mit-traffiku tal-utent mgħoddi. Dan jagħmilha test dgħajjef u kultant qarrieqi: jirnexxi waqt li l-applikazzjoni tfalli, jew ifalli waqt li l-applikazzjoni taħdem.
ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/nullUża host reali, indirizz tas-sors reali u l-protokoll reali li tuża l-applikazzjoni. Imbagħad aqra t-triq lura b’mod separat, għax direzzjoni ’l quddiem li taħdem mingħajr rotta lura tipproduċi timeout li jidher identiku għal servizz imblukkat.
Agħżel id-disinn skont il-mistoqsija li qed twieġeb: qed tgħaqqad netwerks jew qed tilqa’ apparati? Kull ħaġa oħra, inkluż liema fornitur tikkonfigura, tinġibed minn dik it-tweġiba.