L2TP, GRE یا IPsec: کوم پوړ باید سېشن وړي؟

هرکله چې L2TP، GRE او IPsec په یوه ډیزاین یادښت کې راټول شي، دوه پوښتنې ګډوډېږي: زه کوم سېشن وړم، او کوم پوړ یې ساتي؟ که لومړی غلط وي، هر څه چې لاندې دي په داخلي توګه سم پاتې کېږي، خو غلطه ستونزه حل کوي — د لارښوول شوي پوړ پوښ چې هلته جوړ شو چې کاروونکو ته اړتیا وه ډایل-ان وکړي، یا د سایټ-تر-سایټ دروازې پر ځای ولاړ د ډایل-ان مرکز۔ لاندې کاري پاڼه دا توپیر هغه مهال راولي چې لا هېڅوک وسیلې ته ننوزي۔ دا په ترتیب ډکه کړئ او هر کرښه به هغه څه شي چې تاسو یې پخپله ازموئ۔

له سېشن پیل وکړئ، نه له پروتوکولونو لیست

لیرې کاروونکی چې PPP سېشن لري او د دوو دروازو ترمنځ لارښوول شوی پوړ، دواړه په پای کې IPsec ته نغښتي وي، خو بیا هم بېلې شبکې اړیکې دي۔ لومړی د هر کاروونکي لینک پای ته رسوي او پته ورکول، د کس یا وسیلې تصدیق، او هغه پالیسي غواړي چې نوموي کومې داخلي شبکې ته دا کاروونکی رسېدلی شي۔ دویم بسته د هغو سایټونو ترمنځ لېږدوي چې هلته هېڅوک ډایل-ان نه کوي۔

یوه جمله ولیکئ چې نوموي له دواړو کوم یو جوړوئ، بیا یې هغسې ولولئ لکه تاسو هغه کس یاست چې باید چل یې کړئ۔ که جملې ته «او» کلیمه اړینه وي، تاسو دواړه جوړوئ، او کاري پاڼې ته د یوې جوړې کوونکې کالم پر ځای دوه کالمونه اړین دي چې هر یو ته نیمه خدمت کوي۔ که دا کاروونکی ونوموي خو د پتو زیرمه نه، یا مختګ ونوموي خو د لېږلو پالیسي نه، جمله لا بشپړه نه ده۔ الفاظ دفتري ښکاري، خو دا هغه تر ټولو ارزانه ځای دی چې هغه ډیزاین ونیول شي چې که نه وي د مرستې مېز ټکټ به یې ومومي۔

هر پوړ ته په سمه توګه یو کار ورکړئ

L2TPv2 د خپلو دوو پای نقطو ترمنځ PPP سېشنونه وړي۔ PPP د لینک خبرې اترې او، کله چې ورباندې مشوره وشوه، د کاروونکي تصدیق چلوي؛ L2TP هېڅ کوډګري نه زیاتوي، نو یوازې L2TP ډیمون د IPsec امنیتي اړیکې هېڅ برخه نه عملي کوي او یوازې په هغه لینک کې ځای لري چې تاسو دمخه پرې باور لرئ۔

GRE د دوو پتو ترمنځ پوښ دی۔ دا د شبکې پوړ بستې د یوه منطقي پوړ پوښ له لارې وړي او پخپله نه پټتوب او نه تصدیق شوی ملګری هویت وړاندې کوي۔ دا نقصان نه دی: سرلیک ساده جوړ شوی څو د لېږد هارډویر باندې پروسس ارزانه پاتې شي۔ پایله دا ده چې GRE یوازې دې پوښتنې ځواب ورکوي چې دا بسته د دوو پتو ترمنځ څنګه یوړل شي او بل هېڅ ته نه، او هغه پوښتنه چې تاسو یې ترې باید وپوښتئ همدا ده۔

بیا IPsec پاتې کېږي د هغه پوړ په توګه چې ټرافیک ټاکي، ملګري تصدیقوي او هغه څه کوډ کوي چې ورته ویل شوي ساتل یې۔ کوم ټرافیک چې ساتي هغه د ترتیباتو پرېکړه ده چې باید د هغه پوښ سره سمه وي چې پای نقطې یې رېښتیا جوړوي، ځکه هغه پالیسي چې د GRE بهرنۍ پتې لپاره لیکل شوې هغسې چلند نه کوي لکه هغه چې د داخلي مختګونو لپاره لیکل شوې۔ د GRE مشخصات بار، د GRE سرلیک او بهرنۍ رسولو پروتوکول په ښکاره توګه بېل ساتي، او ستاسو پالیسي هم هماغه بېلوالی غواړي۔

له ترتیباتو دمخه د بستې لار ولیکئ

یوه بسته واخلئ او هرهغه سرلیک چې زیاتېږي په هغه ترتیب یاد کړئ چې زیاتېږي، او هغه وسیله ونومئ چې زیاتوي یې۔ د ډایل-ان کاروونکي لپاره دا معمولاً IPsec دننه L2TP دننه PPP وي؛ د سایټ پوړ لپاره دا IPsec دننه GRE دننه داخلي IP بسته وي۔ که دوه وسیلې یو سرلیک زیاتوي، تاسو ته یوه کړۍ یا دوهګونې تونل لرئ، او هر څومره پالیسي سمون به یې نه سمولای شي۔

هماغه لیست MTU ټاکي، ځکه د کارېدونکي داخلي کچې معنا دا ده چې د مېچ شوې لارې MTU څخه همدا اوس شمېرل شوي سرلیکونه کم کړې، او بل هېڅ نه۔ له فورم پوسټ څخه شمېره کاپي مه کوئ: بهرنۍ IP، UDP او ESP لګښت، بیا GRE یا L2TP، بیا چېرې چې لازم وي PPP ورزیات کړئ، او د هغې لارې MTU څخه کم کړئ چې رېښتیا مو مېچ کړې۔ هغه نښې چې یوازې په لویو لېږدونو کې ښکاري، یا هغه سېشنونه چې جوړېږي او بیا په لومړي لوی ځواب کې مري، معمولاً دې ته ورګرځي چې هغه زیاتول په اټکلي توګه شوي۔

هر پوړ په جلا توګه، له بهر څخه دننه وګورئ

کتې په ترتیب وچلوئ او په لومړي ناکام کې ودرېږئ۔ هر کرښه بېلې پوښتنې ځواب ورکوي، نو ناکامي د دې پر ځای چې ووايي تونل مات شو، کاري پاڼې یو کالم ته اشاره کوي۔

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

په Cisco بکس کې سیال څه د رول پورې اړه لري، او سمه جمله بندي د پلیټفارم او خپرونې پورې اړه لري: د IPsec ملګرو لپاره show crypto session، د GRE یا تونل انټرفېس لپاره د انټرفېس شمېرونکي، او د ډایل-ان رول لپاره VPDN یا PPP تصدیق۔ هغه حکمونه چې PPP پای ته رسوي د GRE ملاتړ په اړه هېڅ نه ثابتوي، او کار کوونکی GRE انټرفېس د PPP خدمت په اړه هېڅ نه ثابتوي، نو هغه رول وګورئ چې رېښتیا مو ترتیب کړی، نه هغه چې په انځور کې دی۔

هرهغه پایله د کاري پاڼې د هغې کرښې ترڅنګ ولیکئ چې اړه لري۔ هغه یادښتونه چې د خرابۍ پر مهال اخیستل شوي له هغه توپولوژۍ ارزښتمند دي چې وروسته له یادې بیا کښل شي۔

د ویجاړولو ترتیب برابر کړئ، بیا بیا وګورئ

ویجاړول په بېرته ترتیب ځي، یو دلیل لري: ساتل شوی ټرافیک د IPsec پالیسۍ څخه وباسئ، مخکې له دې چې هغه پوښ لرې کړئ چې پالیسي د هغه لپاره لیکل شوې وه، که نه پالیسي هغه انټرفېس ته اشاره کوي چې نور نشته او بله ترتیباتو بارېدنه په یوه ډېر بېځایه ځای کې ناکامېږي۔ په Linux کې دا مانا دا ده چې د تونل انټرفېس دمخه د حالت او پالیسۍ ننوتنې ړنګې کړئ؛ په رټر کې، د تونل دمخه کریپټو نقشه یا پروفایل ننوتنه لرې کړئ۔

له بیا جوړولو وروسته، د منلو څلور کتنې یو په یو تکرار کړئ: بهرنی رسېدل، جوړه شوې IPsec اړیکه، هغه چېرې چې ډیزاین پکې وي جوړ شوی PPP سېشن، او ریښتیني منزل پتې ته داخلي لېږد۔ یوه شنه څراغ د نورو درېیو لپاره ثبوت نه دی، او هماغه تشه هغه ناکامي ده چې په تولید کې تر ټولو اوږده پاتې کېږي — تونل چې پورته دی، کوډ شوی دی، او هېڅ نه لېږدوي ځکه داخلي لار هېڅکله نه وه زیاته شوې۔

ډکه شوې کاري پاڼه د وسیلې ترتیباتو ترڅنګ وساتئ۔ هر هغه کالم چې نه یې ډکولی شئ، بې کاره پوړ دی، او بې کاره پوړ معمولاً هغه پوړ دی چې باید په سټک کې نه وي۔