Żewġ qabżiet VPN wara xulxin: min tassew jara t-traffiku tiegħek?

Kull profil tal-klijent isemmi server wieħed, għalhekk mill-pożizzjoni tal-utent hemm tunnel wieħed u post wieħed fejn tintemm il-protezzjoni. Dak li jiġri wara dak l-ewwel gateway hija deċiżjoni tad-disinn li l-klijent qatt ma jara, u ż-żewġ disinji komuni jġibu ruħhom b’mod ferm differenti taħt spezzjoni. F’katina serjali l-ewwel gateway jiddeċifra u jerġa’ jinkripta. F’katina mbejta jneħħi saff ta’ barra u jgħaddi tunnel ta’ ġewwa li ma jistax jiftaħ. L-għadd tal-qabżiet huwa identiku f’kull waħda, għalhekk id-differenza trid tinġibed u mhux tingħadd.

Ibda mill-klijent u semmi ż-żewġt itruf

Ibda minn fejn jibda l-utent, fil-profil tal-konnessjoni. Dan iżomm indirizz remot wieħed, metodu ta’ awtentikazzjoni wieħed u, meta d-disinn jappoġġjah, lista ta’ rotot. Ittikketta dak it-tunnel ta’ barra mill-klijent sal-gateway A u agħtih indirizzi eżempju: l-indirizz tat-tunnel tal-klijent 10.77.0.2, dak ta’ A 10.77.0.1, u l-punt tat-tmiem pubbliku ta’ A 198.51.100.10, meħudin mill-firxa tad-dokumentazzjoni TEST-NET-2 sabiex xejn fl-eżempju ma jista’ jaħbat ma’ host reali.

Xejn f’dak il-profil ma jsemmi l-gateway B, u dan mhuwiex difett. It-tieni qabża hija ta’ A, u l-uniku dmir tal-klijent huwa li jwassal it-traffiku lil A u jaċċetta dak li jerġa’ lura. Jekk A ttemmx it-tunnel, tgħaddihx jew tiftaħ wieħed ġdid hija l-mistoqsija li twieġeb il-bqija ta’ dan il-mixi, u din tiddeċiedi x’jista’ jaqra A.

Serjali: A jiddeċifra, imbagħad jerġa’ jinkripta

Fid-disinn serjali A jtemm it-traffiku darbtejn. Jneħħi l-protezzjoni mill-klijent, jikseb il-pakkett IP tal-applikazzjoni, u mbagħad jibgħat dak il-pakkett minn tieni tunnel li A joħloq lejn B. Bejn dawn iż-żewġ operazzjonijiet il-pakkett joqgħod fil-passaġġ tal-ħruġ ta’ A bħala pakkett IP ordinarju indirizzat lejn destinazzjoni privata.

Dan iwassal għal żewġ konsegwenzi li jixirqilhom jingħadu ċar. A jista’ japplika politika fuq il-pakkett ta’ ġewwa, fil-forma ta’ rotot, regoli tal-filtru u reġistrazzjoni tas-sors u d-destinazzjoni, u A għandu jżomm żewġ settijiet ta’ kredenzjali: wieħed bħala server għall-klijent u wieħed bħala klijent ta’ B. Il-protezzjoni teżisti f’kull mument, imma l-oġġett protett ibiddel l-identità tiegħu fi A.

Minn dan ma jsegwix li A jaqra t-test ċar tal-applikazzjoni. Meta l-klijent u s-servizz iħaddmu TLS u jivverifikaw iċ-ċertifikati ta’ xulxin, A jara fluss ta’ rekords TLS u mhux talba li tinqara. Biex tikkonferma fejn tintemm dik il-protezzjoni trid tħares lejn il-katina taċ-ċertifikati tas-servizz, mhux lejn id-dijagramma tat-tunnel.

Imbejta: A jneħħi biss is-saff ta’ barra

Fid-disinn imbejta l-klijent jibni l-ewwel tunnel ta’ ġewwa lejn B u mbagħad iġorr dak it-tunnel ġewwa dak ta’ barra sa A. A jneħħi l-intestatura ta’ barra, isib tunnel ta’ ġewwa u jgħaddih mingħajr ma jżomm iċ-ċwievet tiegħu, għalhekk il-protezzjoni ta’ ġewwa xorta tintemm fi B.

Imbagħad il-link ’il fuq tal-klijent iġorr żewġ saffi, filwaqt li l-passaġġ bejn A u B iġorr wieħed. A jara l-indirizzi ta’ barra tat-tunnel ta’ ġewwa, li biżżejjed biex ikun jaf li hemm traffiku u bejn wieħed u ieħor fejn sejjer, u mhux biżżejjed biex jaqra l-payload. Din hija d-differenza kollha mill-każ serjali, u l-ebda għadd tal-qabżiet ma juriha. Dak li A xorta jista’ jagħmel huwa li jirrifjuta li jgħaddi dak li ma jistax jaqra, u dan dejjem disponibbli għall-operatur ta’ dak il-gateway.

L-imbejt għandu prezz għal dik il-proprjetà. Kull saff iżid overhead tal-intestatura, għalhekk l-ippjanar tal-MTU u l-MSS isir obbligatorju u mhux biss nadif, u passaġġ li jaħdem b’saff wieħed jista’ jbattal pakketti kbar bil-kwiet b’tnejn. Kull saff jeħtieġ ukoll imġiba tiegħu ta’ qbiż mill-ġdid u ta’ żamma ħajja, u falliment f’saff wieħed jidher bħala qtugħ parzjali minn dak l-ieħor.

Iġbed l-osservaturi, mhux biss it-tunnels

It-tunnels huma l-parti faċli tat-tpinġija. L-osservaturi huma dak li huwa dwarhom id-disinn, għalhekk ikteb ringiela waħda għal kull punt ta’ osservazzjoni u imla x’jista’ tabilħaqq jaqra kull wieħed.

Żewġ ringieli jiġu mħallta kontinwament: l-operatur ta’ A u l-fornitur tat-tunnel tal-klijent. Jistgħu jkunu entità waħda, u ismijiet ta’ gateway separati ma jagħmluhomx indipendenti. Sjieda indipendenti teħtieġ kontroll amministrattiv separat, kredenzjali separati u reġistrazzjoni separata.

Il-metadata tgħaddi minn żewġ disinji. Il-ħin, id-daqsijiet tal-pakketti u l-għadd tal-konnessjonijiet jibqgħu osservabbli f’kull qabża, għalhekk żewġ qabżiet iżidu l-ispiża tal-korrelazzjoni u mhux ineħħu s-sinjal. Disinn li jwiegħed l-inviżibbiltà għandu jiġi vverifikat ma’ dik il-lista qabel ma xi ħadd jiddependi fuqu.

Għad il-passaġġi tal-falliment qabel ma tagħżel

Ikseb l-affarijiet apposta mill-klijent, fl-ordni li utent jiltaqa’ magħhom. Ibda mill-interface u l-MTU tagħha, għax l-imbejt ifalli fid-daqs tal-pakkett ħafna qabel ma jfalli fl-awtentikazzjoni.

ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1

Imbagħad ikkonferma l-punti tat-tmiem tal-protezzjoni minflok ma tassumihom. Itlob lis-servizz iċ-ċertifikat tiegħu minn ġewwa ta’ kwalunkwe tunnel li jkun għaddej, u qabbel il-katina li jara l-klijent mal-katina li s-servizz tabilħaqq jippreżenta. Gateway li jerġa’ jiffirma jew jinterċetta jbiddel dak iċ-ċertifikat, u l-ispezzjoni ssir viżibbli b’kmand wieħed.

openssl s_client -connect intranet.example.com:443 -brief < /dev/null

Ittemm bil-matriċi tal-qbiż mill-ġdid: it-tunnel tal-klijent jaqa’, it-tunnel ta’ B jaqa’, il-passaġġ bejn A u B jinbidel. Innota x’jerġa’ lura u x’ma jerġax, u jekk konnessjoni ta’ ġewwa taqax qatt fuq rotta barra mill-ġarrier maħsub tagħha. Irreġistra l-indirizzi li uża kull test, għax li tirrepetih fuq netwerk ta’ aċċess ieħor iwieġeb mistoqsija oħra. Erġa’ agħmel it-test tal-MTU wara kull qbiż mill-ġdid ukoll, għax passaġġ mibdul jista’ jnaqqas id-daqs użabbli mingħajr ma tiċċaqlaq linja waħda ta’ konfigurazzjoni.

Agħżel is-serjali meta A jrid japplika politika fuq il-pakkett ta’ ġewwa, jew meta l-klijent ma jistax iħaddem żewġ tunnels imstacka. Agħżel l-imbejt meta l-payload ta’ ġewwa jrid jibqa’ ma jinqarax fi A. Ikteb l-għażla mal-osservaturi tagħha u n-numri tal-MTU tagħha, u l-persuna li jmiss mhux se jkollha terġa’ tiġbed l-istampa kollha biex twieġeb mistoqsija waħda.