Liema pakkett għandha taqbel miegħu politika VPN b'żewġ WAN?

Talbiet biex il-VPN tiġi mgħoddija mill-ħolqa tal-aħħar tiddeskrivi mill-inqas żewġ xogħlijiet differenti, u l-politika li ssewwi waħda ma tmissx lill-oħra. Fl-ewwel xogħol, it-trasport ċifrat bejn żewġt itruf jgħaddi għal indirizz WAN ieħor. Fit-tieni, il-fluss tal-applikazzjoni deċifrat ta' utent konness joħroġ lejn hop ieħor li jmiss. It-tnejn huma leġittimi, it-tnejn jużaw it-tħaddim, u kull wieħed jeħtieġ taqbila fuq pakkett li jeżisti fil-punt fejn tittieħed id-deċiżjoni. Għaddi mill-verifiki hawn taħt fl-ordni, għax l-ewwel waħda tiddetermina liema pakkett iridu jsemmu r-regoli ta' wara.

Semmi ż-żewġ konversazzjonijiet

Immaġina ħaddiem mill-bogħod imqabbad ma' gateway tal-uffiċċju, li jiftaħ HTTPS lejn server tal-applikazzjoni intern. Hemm żewġ konversazzjonijiet indipendenti fuq il-wajer, u għandhom indirizzi differenti f'kull tarf. Il-konversazzjoni ta' barra tgħaddi bejn iż-żewġt itruf tal-VPN: mill-indirizz tal-gateway għall-indirizz tal-pari, bil-protokoll u l-port li dwarhom ftiehem l-użu. Il-konversazzjoni ta' ġewwa tgħaddi mill-indirizz mogħti lill-klijent għall-indirizz tas-server tal-applikazzjoni fuq il-port 443.

Il-port tad-destinazzjoni tal-applikazzjoni mhuwiex il-port tat-trasport tal-VPN, u l-ebda ammont ta' politika fuq TCP 443 mhu se jċaqlaq it-tunnel. Bl-istess mod, regola li tidderieġi l-indirizz tat-trasport tal-pari ma tgħid xejn dwar fejn tmur it-talba HTTP ta' dak l-utent wara d-deċifrar. Ikteb iż-żewġ konversazzjonijiet bl-indirizzi veri tagħhom qabel ma tmiss regola, għax il-biċċa l-kbira tal-konfużjoni f'dan il-qasam tiġi milli tisimmi waħda u tikkonfigura l-oħra.

Sib fejn il-politika tiegħek tista' tassew tara l-pakkett

It-taqbila trid tiġi evalwata fil-katina u fl-ispazju tal-ismijiet fejn il-pakkett għadu fil-forma li ddeskrivejt. Regola mwaħħla mad-dħul tal-LAN tara l-pakkett ta' ġewwa, mhux ċifrat, qabel ma jiġi dirett lejn it-tunnel. Regola applikata għal traffiku ġġenerat lokalment tara pakketti li l-gateway innifsu jiġġenera, u mhijiex awtomatikament tkopri traffiku li l-gateway sempliċement jgħaddi l quddiem. Il-ħruġ inkapsulat huwa għal darb oħra t-tielet każ, normalment immaniġġjat fuq l-interface li ġġorr it-tunnel u mhux fuq in-naħa tal-LAN.

Huwa għalhekk li l-istess silta tal-konfigurazzjoni tġib ruħha b'mod differenti fuq żewġ pjattaformi: il-punti tal-irbit huma differenti, u l-ganċ tal-politika tal-fornitur jista' jkun qabel jew wara l-pass tal-kriptaġġ. Aqra l-mogħdija tal-pakkett għall-prodott speċifiku minflok ma tassumi l-ordni mid-dijagramma ta' fornitur ieħor.

Ikkonferma t-trasport li dwarha ftiehem

Għal IPsec inkapsulat fl-UDP, RFC 3948 ipoġġi l-ESP ġewwa l-UDP u juża markatur li mhuwiex ESP biex IKE jibqa' jingħaraf fuq il-port kondiviż. L-ESP sempliċi huwa protokoll IP, mhux port TCP jew UDP, għalhekk regola tal-firewall miktuba fuq numru tal-port ma taqbilx miegħu xejn. Din id-distinzjoni tiddetermina jekk il-politika WAN tiegħek teħtiġx regola UDP, regola tal-protokoll, jew it-tnejn.

Il-valuri nnegozjati jegħlbu lil dawk imfakkra. Aqra l-ports u l-indirizzi attwali tal-assoċjazzjoni mill-apparat minflok ma żżid TCP 4500 jew port antik tal-fornitur għal kull każ, li jaqbad traffiku mhux relatat u jaħbi l-problema vera tal-klassifikazzjoni.

Iċċekkja l-mogħdija tar-ritorn qabel ma timpenja ruħek

Is-suċċess il barra jipprova nofs id-disinn. Pakkett li jirritorna lejn il-grupp tal-klijenti remoti m'għadux jidher taħt l-indirizz tal-klijent ladarba l-inkapsulament jissostitwih: id-destinazzjoni ta' barra hija l-indirizz tat-trasport tal-pari. Jekk it-tieni ħolqa tasal għal dak il-pari permezz ta' trasportatur differenti, it-traduzzjoni u l-filtraġ tagħha jistgħu ma jaqblux mal-ewwel waħda, u l-assoċjazzjoni tista' teħtieġ tinbena mill-ġdid minflok tiġi migrata.

L-istat tat-traduzzjoni tal-indirizzi tan-netwerk huwa l-vittma tas-soltu ta' bidla fil-WAN. Irreġistra l-ħolqa magħżula, l-indirizz tas-sors ta' barra mistenni, it-traduzzjoni li tintuża u l-aċċessibilità tal-pari lura lejha, imbagħad żomm it-trasport aċċessibbli mingħajr ma tibgħatu fit-tunnel li jġorr.

Ivverifika ż-żewġ saffi b'żewġ qabdiet

Qabda waħda fuq l-interface WAN u waħda ġewwa t-tunnel isolvu l-kwistjoni aktar malajr minn kwalunkwe tqabbil tal-konfigurazzjoni. Mexxihom mill-gateway waqt li klijent approvat jagħmel talba waħda, u żomm iż-żewġ fajls.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

L-ewwel qabda għandha turi l-konversazzjoni ta' barra ħierġa mill-interface li kellek f'moħħok, bl-indirizz tas-sors mistenni. It-tieni għandha turi l-konversazzjoni ta' ġewwa darba waħda, mhux iddupplikata, bl-indirizz tal-klijent bħala sors u s-server tal-applikazzjoni bħala destinazzjoni. It-tfittxija tal-mogħdija tikkonferma liema tabella r-router juża għal dak il-par sors u destinazzjoni, u hemmhekk normalment tidher żball fil-politika. Jekk xi waħda mill-qabdiet ma tidhirx, il-punt tad-deċiżjoni jinsab xi mkien ieħor u mhux fejn ġiet imwaħħla r-regola, u t-tiswija tappartjeni hemm u mhux fi taqbila usa'.