Min tassew iwieġeb fuq l-indirizz dedikat tal-VPN?

Indirizz li jibqa' mhux użat fl-allokazzjoni tal-organizzazzjoni mhuwiex semmiegħ, u żżidu ma' firewall ma joħloqx wieħed. Xi ħaġa trid ttemm IKE fuq dan l-indirizz, u l-mekkaniżmu jvarja skont jekk il-gateway jippossedix l-indirizz jew apparat upstream jittraducieh. It-triq tal-pakkett hija dik li tiddistingwi t-tnejn, u hija tiddeċiedi liema karatteristika tal-pjattaforma għandek bżonn qabel ma xi ħadd jiftaħ talba għal bidla. Immudella t-triq l-ewwel, imbagħad agħżel.

It-triq tal-pakkett wara l-indirizz

Peer jibgħat IKE lejn l-indirizz li ngħata, fuq UDP 500 jew fuq UDP 4500 meta jkun hemm traversata tan-NAT. Kwalunkwe apparat li jżomm dak l-indirizz fit-triq jew jirċievi d-datagram lokalment u jwieġeb għalih, jew jgħaddih 'il quddiem band'oħra. Dawn huma l-uniċi żewġ possibilitajiet, u kull ħaġa oħra f'dan l-artiklu ġejja minn liema waħda hija vera.

Irċevuta lokali tfisser li hemm socket fuq dan l-apparat, marbut ma' dak l-indirizz. It-tgħadd 'il quddiem ifisser li d-datagram jerġa' jinkiteb u jintbagħat lejn punt terminali ieħor, li mbagħad ikollu s-socket. Regola tal-firewall li tippermetti UDP 500 ma tgħidlek xejn dwar liema miż-żewġ hwejjeg qed jiġri.

Ikteb ir-rekord qabel ma tmiss xejn: l-indirizz li miegħu jikkuntattjaw il-peers, kif in-netwerk upstream iwasslu, l-interface lokali jew il-punt terminali loġiku li jirċevih, u l-proċess li jwieġeb għal IKE. Erba' linji, u kull waħda tista' tiġi verifikata. Meta waħda minnhom mhix magħrufa, dik il-magħrufa hija x-xogħol tad-disinn u mhux dettall tal-implimentazzjoni li jiġi deċiż aktar tard. Il-mili tagħhom wara li tiġi approvata t-talba għal bidla huwa kif regola ta' traduzzjoni tispiċċa fuq l-apparat żbaljat.

Mudell A: il-gateway jippossedi l-indirizz

Fl-ewwel mudell il-gateway iżomm l-indirizz hu stess, jew bħala indirizz sekondarju fuq interface eżistenti, bħala indirizz fuq interface dedikat, jew bħala loopback li l-pjattaforma tappoġġja bħala punt terminali tat-tunnel. Dawn huma tliet karatteristiċi differenti bi tliet toroq ta' konfigurazzjoni differenti, u pjattaforma li tappoġġja waħda jista' ma tappoġġjax l-oħrajn.

Ikkonferma li l-pjattaforma u r-rilaxx jappoġġjaw eżattament dan l-arranġament qabel ma tiddisinja madwaru. Blokk routejat, indirizz addizzjonali fuq interface u punt terminali loopback mhumiex interkambjabbli, u d-dokumentazzjoni ta' rilaxx wieħed ma twiegħedx li dak li jmiss jġib ruħu bl-istess mod.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Is-socket li jisma' hija l-prova. Jekk xejn mhu marbut mal-indirizz, il-gateway mhuwiex it-terminatur tkun xi tgħid it-tabella tar-routing, u qbid tal-pakketti juri d-datagrams jaslu mingħajr xejn ma jwieġeb għalihom.

Tqegħidx it-tieni interface f'subnet li diġà jeżisti x'imkien ieħor fit-topoloġija u tassumix li l-pjattaforma ssolvih. Subnets tal-interface li jikkoinċidu jipproduċu għażla tas-sors ambigwa u, fuq ħafna pjattaformi, rifjut sħiħ milli jiġu konfigurati.

Mudell B: apparat upstream jittraducieh

Fit-tieni mudell firewall upstream iżomm l-indirizz dedikat u jgħaddi t-traffiku lejn gateway VPN differenti. Dik hija traduzzjoni tad-destinazzjoni bi triq lura, u hija disinn perfettament validu sakemm tkun dokumentata bħala tali.

Dak li mhuwiex, hija prova li l-apparat upstream kiseb socket VPN lokali. It-traduzzjoni tgħaddi pakketti; ma tagħmilx il-kaxxa ta' fuq risponditur IKE. Jekk ir-regola upstream titneħħa jew triqha lura tinqasam, il-VPN jieqaf għalkemm il-gateway huwa f'saħħtu u s-semmiegħa tiegħu stess intatti.

Irreġistra ż-żewġ indirizzi: dak li jikkuntattjaw il-peers u dak li l-gateway fil-fatt jara. Imbagħad irreġistra t-trasport u t-triq lura, għax traduzzjoni li taħdem għal UDP 500 iżda mhux għal ESP inkapsulat se tikkonnettja u mbagħad tfalli milli ġġorr traffiku, li hija falliment konfuż biex jiġi debugjat aktar tard.

L-identità mhijiex l-indirizz ta' barra

IPsec jifred il-punt terminali tat-tunnel mit-traffiku li jipproteġi, u l-arkitettura żżomm dawk id-deċiżjonijiet f'postijiet differenti. Il-bidla tal-indirizz li jikkuntattjaw il-peers ma tbiddilx awtomatikament liema prefissi interni huma permessi, liema rotot jiġu installati jew liema riżorsi s-sessjoni tista' tilħaq.

L-identità awtentikata hija mill-ġdid separata. IKEv2 iġorr payload tal-identità u skambju ta' awtentikazzjoni li m'għandhomx għalfejn jaqblu mal-indirizz tal-pakkett ta' barra, u proprju għalhekk disinn tradott xorta waħda jista' jawtentika b'mod korrett.

Dik l-indipendenza hija utli u fl-istess ħin nassa. Żewġ ismijiet DNS li jsolvu għal semmiegħ ordinarju wieħed ma jagħżlux backends VPN differenti, u ċertifikat li jsemmi identità waħda ma jissodisfax peer li jistenna oħra. Ikkonferma x'jivvalida l-peer qabel ma tassumi li l-indirizz waħdu jiddeċiedi dan.

Aċċetta d-disinn billi tosserva konnessjoni waħda

Ispezzjona fejn konnessjoni awtorizzata ġdida fil-fatt tiġi kkonsenjata, liema identità twieġeb u liema fluss privat imbagħad ikun permess. Tliet osservazzjonijiet, tliet saffi differenti, u tfittxija pubblika ta' suċċess tal-indirizz ma tittestja xejn minnhom.

Żomm ukoll il-każ negattiv: peer li m'għandux jiġi aċċettat, jew prefiss intern li m'għandux ikun aċċessibbli, ivverifikat wara l-bidla. Ir-rekord li ktibt fil-bidu huwa dak li jagħmel dan it-test possibbli mingħajr ma terġa' tibni d-disinn mill-memorja.

Il-punt ta' dan kollu huwa li jħalli lis-sid tan-netwerk jagħżel metodu ta' allokazzjoni appoġġjat minflok jiddependi fuq talba ġenerali dwar x'jista' jagħmel kull firewall b'indirizz żejjed. Dik it-talba hija eżattament fejn dawn id-disinni jmorru ħażin, għax tinstema' plawsibbli fuq kull pjattaforma u b'mod ġenerali mhijiex vera fuq l-ebda waħda. Ir-rekord ta' erba' linji jsolviha għall-pjattaforma tiegħek fi tmin minuti.