ਦੋ WAN ਵਾਲੀ VPN ਨੀਤੀ ਨੂੰ ਕਿਹੜੇ ਪੈਕੇਟ ਨਾਲ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ?

VPN ਨੂੰ ਦੂਜੇ ਅਪਲਿੰਕ ਰਾਹੀਂ ਰੂਟ ਕਰਨ ਦੀਆਂ ਬੇਨਤੀਆਂ ਘੱਟੋ-ਘੱਟ ਦੋ ਵੱਖਰੇ ਕੰਮਾਂ ਦਾ ਵਰਣਨ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਇੱਕ ਨੂੰ ਠੀਕ ਕਰਨ ਵਾਲੀ ਨੀਤੀ ਦੂਜੇ ਨੂੰ ਨਹੀਂ ਛੂੰਦੀ। ਪਹਿਲੇ ਕੰਮ ਵਿੱਚ ਦੋ ਸਿਰਿਆਂ ਵਿਚਕਾਰ ਇਨਕ੍ਰਿਪਟਿਡ ਟਰਾਂਸਪੋਰਟ ਦੂਜੇ WAN ਪਤੇ ਤੇ ਚਲਾ ਜਾਂਦਾ ਹੈ। ਦੂਜੇ ਵਿੱਚ ਜੁੜੇ ਉਪਭੋਗਤਾ ਦਾ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਵਾਹ ਦੂਜੇ ਅਗਲੇ ਹੌਪ ਵੱਲ ਬਾਹਰ ਨਿਕਲਦਾ ਹੈ। ਦੋਵੇਂ ਜਾਇਜ਼ ਹਨ, ਦੋਵੇਂ ਰੂਟਿੰਗ ਵਰਤਦੇ ਹਨ, ਅਤੇ ਹਰੇਕ ਨੂੰ ਉਸ ਪੈਕੇਟ ਤੇ ਮੇਲ ਚਾਹੀਦਾ ਹੈ ਜੋ ਫ਼ੈਸਲਾ ਲੈਣ ਵਾਲੀ ਥਾਂ ਤੇ ਮੌਜੂਦ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਜਾਂਚਾਂ ਕ੍ਰਮ ਵਿੱਚ ਕਰੋ, ਕਿਉਂਕਿ ਪਹਿਲੀ ਇਹ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਅੱਗੇ ਦੇ ਨਿਯਮਾਂ ਨੂੰ ਕਿਹੜੇ ਪੈਕੇਟ ਦਾ ਨਾਂ ਲੈਣਾ ਹੈ।

ਦੋਵੇਂ ਗੱਲਬਾਤਾਂ ਦੇ ਨਾਂ ਦੱਸੋ

ਦਫ਼ਤਰ ਗੇਟਵੇ ਨਾਲ ਜੁੜੇ ਦੂਰਸਥ ਕਰਮਚਾਰੀ ਦੀ ਕਲਪਨਾ ਕਰੋ, ਜੋ ਅੰਦਰੂਨੀ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਵੱਲ HTTPS ਖੋਲ੍ਹਦਾ ਹੈ। ਤਾਰ ਤੇ ਦੋ ਸੁਤੰਤਰ ਗੱਲਬਾਤਾਂ ਹਨ, ਅਤੇ ਹਰ ਸਿਰੇ ਤੇ ਉਨ੍ਹਾਂ ਦੇ ਪਤੇ ਵੱਖਰੇ ਹਨ। ਬਾਹਰੀ ਗੱਲਬਾਤ ਦੋ VPN ਸਿਰਿਆਂ ਵਿਚਕਾਰ ਚੱਲਦੀ ਹੈ: ਗੇਟਵੇ ਪਤੇ ਤੋਂ ਪੀਅਰ ਪਤੇ ਤੱਕ, ਤੈਨਾਤੀ ਵੱਲੋਂ ਸਹਿਮਤ ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਪੋਰਟ ਵਿੱਚ। ਅੰਦਰੂਨੀ ਗੱਲਬਾਤ ਕਲਾਇੰਟ ਨੂੰ ਦਿੱਤੇ ਪਤੇ ਤੋਂ 443 ਪੋਰਟ ਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਦੇ ਪਤੇ ਤੱਕ ਚੱਲਦੀ ਹੈ।

ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਮੰਜ਼ਿਲ ਪੋਰਟ VPN ਦਾ ਟਰਾਂਸਪੋਰਟ ਪੋਰਟ ਨਹੀਂ ਹੈ, ਅਤੇ TCP 443 ਤੇ ਕੋਈ ਵੀ ਨੀਤੀ ਟਨਲ ਨੂੰ ਨਹੀਂ ਹਿਲਾਏਗੀ। ਇਸੇ ਤਰ੍ਹਾਂ, ਪੀਅਰ ਦੇ ਟਰਾਂਸਪੋਰਟ ਪਤੇ ਨੂੰ ਮੁੜ-ਨਿਰਦੇਸ਼ਿਤ ਕਰਨ ਵਾਲਾ ਨਿਯਮ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ ਕਿ ਉਸ ਉਪਭੋਗਤਾ ਦੀ HTTP ਬੇਨਤੀ ਡੀਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਾਅਦ ਕਿੱਥੇ ਜਾਂਦੀ ਹੈ। ਕਿਸੇ ਵੀ ਨਿਯਮ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਗੱਲਬਾਤਾਂ ਉਨ੍ਹਾਂ ਦੇ ਅਸਲ ਪਤਿਆਂ ਸਮੇਤ ਲਿਖੋ, ਕਿਉਂਕਿ ਇਸ ਖੇਤਰ ਦੀ ਜ਼ਿਆਦਾਤਰ ਉਲਝਣ ਇੱਕ ਨੂੰ ਨਾਂ ਦੇਣ ਅਤੇ ਦੂਜੇ ਨੂੰ ਸੰਰਚਿਤ ਕਰਨ ਤੋਂ ਆਉਂਦੀ ਹੈ।

ਲੱਭੋ ਕਿ ਤੁਹਾਡੀ ਨੀਤੀ ਪੈਕੇਟ ਅਸਲ ਵਿੱਚ ਕਿੱਥੇ ਦੇਖ ਸਕਦੀ ਹੈ

ਮੇਲ ਦਾ ਮੁਲਾਂਕਣ ਉਸ ਚੇਨ ਅਤੇ ਨਾਂ-ਥਾਂ ਵਿੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿੱਥੇ ਪੈਕੇਟ ਅਜੇ ਵੀ ਤੁਹਾਡੇ ਦੱਸੇ ਰੂਪ ਵਿੱਚ ਹੈ। LAN ਦਾਖਲੇ ਨਾਲ ਜੁੜਿਆ ਨਿਯਮ ਅੰਦਰੂਨੀ ਪੈਕੇਟ ਨੂੰ ਇਨਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਿਨਾਂ, ਟਨਲ ਵੱਲ ਰੂਟ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਦੇਖਦਾ ਹੈ। ਸਥਾਨਕ ਤੌਰ ਤੇ ਪੈਦਾ ਹੋਏ ਟ੍ਰੈਫ਼ਿਕ ਤੇ ਲਾਗੂ ਨਿਯਮ ਉਹ ਪੈਕੇਟ ਦੇਖਦਾ ਹੈ ਜੋ ਗੇਟਵੇ ਆਪ ਬਣਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਉਸ ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਆਪਣੇ-ਆਪ ਨਹੀਂ ਢਕਦਾ ਜੋ ਗੇਟਵੇ ਸਿਰਫ਼ ਅੱਗੇ ਭੇਜਦਾ ਹੈ। ਇਨਕੈਪਸੁਲੇਟਿਡ ਆਉਟਪੁੱਟ ਫਿਰ ਤੀਜਾ ਮਾਮਲਾ ਹੈ, ਜੋ ਆਮ ਤੌਰ ਤੇ LAN ਪਾਸੇ ਨਹੀਂ ਬਲਕਿ ਟਨਲ ਢੋਣ ਵਾਲੇ ਇੰਟਰਫ਼ੇਸ ਤੇ ਸੰਭਾਲਿਆ ਜਾਂਦਾ ਹੈ।

ਇਸੇ ਲਈ ਉਹੀ ਸੰਰਚਨਾ ਟੁਕੜਾ ਦੋ ਪਲੇਟਫ਼ਾਰਮਾਂ ਤੇ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ: ਜੁੜਨ ਦੇ ਬਿੰਦੂ ਵੱਖਰੇ ਹਨ, ਅਤੇ ਵਿਕਰੇਤਾ ਦਾ ਨੀਤੀ-ਹੁੱਕ ਇਨਕ੍ਰਿਪਸ਼ਨ ਕਦਮ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂ ਬਾਅਦ ਹੋ ਸਕਦਾ ਹੈ। ਕਿਸੇ ਹੋਰ ਵਿਕਰੇਤਾ ਦੇ ਚਿੱਤਰ ਤੋਂ ਕ੍ਰਮ ਮੰਨਣ ਦੀ ਬਜਾਏ ਉਸ ਖ਼ਾਸ ਉਤਪਾਦ ਲਈ ਪੈਕੇਟ ਮਾਰਗ ਪੜ੍ਹੋ।

ਤੁਸੀਂ ਜਿਸ ਟਰਾਂਸਪੋਰਟ ਤੇ ਸਹਿਮਤ ਹੋਏ ਉਸ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

UDP ਵਿੱਚ ਇਨਕੈਪਸੁਲੇਟਿਡ IPsec ਲਈ, RFC 3948 ESP ਨੂੰ UDP ਦੇ ਅੰਦਰ ਰੱਖਦਾ ਹੈ ਅਤੇ ਸਾਂਝੇ ਪੋਰਟ ਤੇ IKE ਨੂੰ ਵੱਖਰਿਆਉਣ ਯੋਗ ਰੱਖਣ ਲਈ ਗੈਰ-ESP ਨਿਸ਼ਾਨ ਵਰਤਦਾ ਹੈ। ਸਾਦਾ ESP ਇੱਕ IP ਪ੍ਰੋਟੋਕੋਲ ਹੈ, TCP ਜਾਂ UDP ਪੋਰਟ ਨਹੀਂ, ਇਸ ਲਈ ਪੋਰਟ ਨੰਬਰ ਤੇ ਲਿਖਿਆ ਫਾਇਰਵਾਲ ਨਿਯਮ ਇਸ ਨਾਲ ਬਿਲਕੁਲ ਨਹੀਂ ਮਿਲੇਗਾ। ਇਹ ਫ਼ਰਕ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਤੁਹਾਡੀ WAN ਨੀਤੀ ਨੂੰ UDP ਨਿਯਮ, ਪ੍ਰੋਟੋਕੋਲ ਨਿਯਮ ਜਾਂ ਦੋਵੇਂ ਚਾਹੀਦੇ ਹਨ।

ਸਹਿਮਤ ਮੁੱਲ ਯਾਦ ਰੱਖੇ ਮੁੱਲਾਂ ਨੂੰ ਹਰਾਉਂਦੇ ਹਨ। ਡਿਵਾਈਸ ਤੋਂ ਐਸੋਸੀਏਸ਼ਨ ਦੇ ਮੌਜੂਦਾ ਪੋਰਟ ਅਤੇ ਪਤੇ ਪੜ੍ਹੋ, TCP 4500 ਜਾਂ ਪੁਰਾਣਾ ਵਿਕਰੇਤਾ ਪੋਰਟ ਸਾਵਧਾਨੀ ਵਜੋਂ ਜੋੜਨ ਦੀ ਬਜਾਏ, ਜੋ ਅਸੰਬੰਧਿਤ ਟ੍ਰੈਫ਼ਿਕ ਫੜਦਾ ਹੈ ਅਤੇ ਅਸਲ ਵਰਗੀਕਰਨ ਸਮੱਸਿਆ ਲੁਕਾਉਂਦਾ ਹੈ।

ਵਚਨਬੱਧ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਵਾਪਸੀ ਮਾਰਗ ਜਾਂਚੋ

ਬਾਹਰ ਜਾਣ ਵਾਲੀ ਦਿਸ਼ਾ ਵਿੱਚ ਸਫਲਤਾ ਡਿਜ਼ਾਈਨ ਦਾ ਅੱਧਾ ਹਿੱਸਾ ਸਾਬਤ ਕਰਦੀ ਹੈ। ਦੂਰਸਥ ਕਲਾਇੰਟ ਪੂਲ ਵੱਲ ਵਾਪਸ ਆਉਣ ਵਾਲਾ ਪੈਕੇਟ ਇਨਕੈਪਸੁਲੇਸ਼ਨ ਵੱਲੋਂ ਬਦਲੇ ਜਾਣ ਤੋਂ ਬਾਅਦ ਕਲਾਇੰਟ ਦੇ ਪਤੇ ਹੇਠ ਨਹੀਂ ਦਿਸਦਾ: ਬਾਹਰੀ ਮੰਜ਼ਿਲ ਪੀਅਰ ਦਾ ਟਰਾਂਸਪੋਰਟ ਪਤਾ ਹੈ। ਜੇ ਦੂਜਾ ਅਪਲਿੰਕ ਉਸ ਪੀਅਰ ਤੱਕ ਕਿਸੇ ਹੋਰ ਵਾਹਕ ਰਾਹੀਂ ਪਹੁੰਚਦਾ ਹੈ, ਤਾਂ ਉਸ ਦਾ ਅਨੁਵਾਦ ਅਤੇ ਫ਼ਿਲਟਰਿੰਗ ਪਹਿਲੇ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾ ਸਕਦੇ, ਅਤੇ ਐਸੋਸੀਏਸ਼ਨ ਨੂੰ ਤਬਦੀਲ ਕਰਨ ਦੀ ਬਜਾਏ ਮੁੜ ਬਣਾਉਣਾ ਪੈ ਸਕਦਾ ਹੈ।

ਨੈੱਟਵਰਕ ਪਤਾ ਅਨੁਵਾਦ ਦੀ ਸਥਿਤੀ WAN ਬਦਲਣ ਦਾ ਆਮ ਸ਼ਿਕਾਰ ਹੈ। ਚੁਣਿਆ ਅਪਲਿੰਕ, ਸੰਭਾਵਿਤ ਬਾਹਰੀ ਸਰੋਤ ਪਤਾ, ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਅਨੁਵਾਦ ਅਤੇ ਪੀਅਰ ਦੀ ਉੱਥੇ ਤੱਕ ਪਹੁੰਚ ਦਰਜ ਕਰੋ, ਫਿਰ ਟਰਾਂਸਪੋਰਟ ਨੂੰ ਉਸ ਟਨਲ ਵਿੱਚ ਭੇਜੇ ਬਿਨਾਂ ਜੋ ਇਹ ਢੋਂਦਾ ਹੈ, ਪਹੁੰਚਯੋਗ ਰੱਖੋ।

ਦੋ ਕੈਪਚਰਾਂ ਨਾਲ ਦੋਵੇਂ ਪਰਤਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

WAN ਇੰਟਰਫ਼ੇਸ ਤੇ ਇੱਕ ਕੈਪਚਰ ਅਤੇ ਟਨਲ ਦੇ ਅੰਦਰ ਇੱਕ ਕੈਪਚਰ ਕਿਸੇ ਵੀ ਸੰਰਚਨਾ ਤੁਲਨਾ ਨਾਲੋਂ ਤੇਜ਼ੀ ਨਾਲ ਸਵਾਲ ਹੱਲ ਕਰਦੇ ਹਨ। ਮਨਜ਼ੂਰ ਕਲਾਇੰਟ ਇੱਕ ਹੀ ਬੇਨਤੀ ਕਰਦਿਆਂ ਉਹ ਗੇਟਵੇ ਤੋਂ ਚਲਾਓ, ਅਤੇ ਦੋਵੇਂ ਫ਼ਾਈਲਾਂ ਰੱਖੋ।

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

ਪਹਿਲੇ ਕੈਪਚਰ ਨੇ ਬਾਹਰੀ ਗੱਲਬਾਤ ਨੂੰ ਤੁਹਾਡੇ ਇੱਛਤ ਇੰਟਰਫ਼ੇਸ ਤੋਂ ਸੰਭਾਵਿਤ ਸਰੋਤ ਪਤੇ ਸਮੇਤ ਬਾਹਰ ਜਾਂਦਿਆਂ ਦਿਖਾਉਣਾ ਚਾਹੀਦਾ ਹੈ। ਦੂਜੇ ਨੇ ਅੰਦਰੂਨੀ ਗੱਲਬਾਤ ਇੱਕ ਵਾਰ, ਦੁਹਰਾਏ ਬਿਨਾਂ, ਕਲਾਇੰਟ ਪਤਾ ਸਰੋਤ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਮੰਜ਼ਿਲ ਵਜੋਂ ਦਿਖਾਉਣੀ ਚਾਹੀਦੀ ਹੈ। ਰੂਟ ਖੋਜ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ ਕਿ ਰਾਊਟਰ ਉਸ ਸਰੋਤ-ਮੰਜ਼ਿਲ ਜੋੜੀ ਲਈ ਕਿਹੜੀ ਸਾਰਣੀ ਵਰਤੇਗਾ, ਅਤੇ ਉੱਥੇ ਹੀ ਨੀਤੀ ਦੀ ਗ਼ਲਤੀ ਆਮ ਤੌਰ ਤੇ ਦਿਸਦੀ ਹੈ। ਜੇ ਕੋਈ ਵੀ ਕੈਪਚਰ ਨਾ ਦਿਸੇ, ਤਾਂ ਫ਼ੈਸਲਾ ਬਿੰਦੂ ਨਿਯਮ ਜਿੱਥੇ ਜੋੜਿਆ ਗਿਆ ਸੀ ਉੱਥੇ ਨਹੀਂ ਬਲਕਿ ਹੋਰ ਕਿਤੇ ਹੈ, ਅਤੇ ਸੁਧਾਰ ਵਿਆਪਕ ਮੇਲ ਵਿੱਚ ਨਹੀਂ ਬਲਕਿ ਉੱਥੇ ਹੀ ਹੈ।