د ځای څخه ځای ته VPN د لارې پر بنسټ او د تګلارې پر بنسټ: څه توپیر لري
د تګلارې پر بنسټ IPsec ترافیک د ټاکونکي له مخې غوره کوي؛ د لارې پر بنسټ یې د ټنل انټرفیس له لارې لېږي۔ دواړو ته لا هم د فایر وال قواعد او د بېرته راستنېدو لار اړینه ده۔
دواړه ډیزاینونه ورته ترافیک د ورته IPsec ماشینري سره ساتي، او په دې کې توپیر لري چې کومه بسته ټنل ته ننوځي دا څه شی فیصله کوي۔ د تګلارې پر بنسټ اړیکه کې د خبرو اترو شوي ترافیک ټاکونکي دا کار کوي؛ د لارې پر بنسټ اړیکه کې د ټنل انټرفیس ته اشاره کوونکې لار دا کار کوي۔ د دوی دواړو ګډول یو بل آشنا ملاتړ تار رامنځته کوي چې پکې ټنل خپل ځان جوړ شوی ښيي خو اپلیکیشن هېڅ ته نه رسېږي۔ دا توپیر تر ټولو ډېر مهم دی کله چې تاسو شبکه اضافه کوئ، د لارې پروتوکول چلوئ یا د داسې لارې غلطي لرې کوئ چې په خاموشۍ د غلطې وتنې له لارې وځي۔
ټنل ته څه ننوځي، د دې فیصلې کولو دوې لارې
د تګلارې پر بنسټ VPN د امنیت تګلاره جوړوي چې د سرچینې او منزل پریفیکسونو سره سمون لري، بیا هر هغه څه کوډ کوي چې ځای پر ځای شي۔ سیال باید د منلو وړ ټاکونکي په اړه خبرې وکړي، نو ځکه اغېزمنه پراخه برخه په پای کې د دواړو خواوو د وړاندیز شوو شیانو د تقاطع په بڼه راځي۔ له دې تقاطع بهر هېڅ شی نه دی ساتل شوی، د لارې جدول هر څه ووايي۔
د لارې پر بنسټ VPN د ټنل استازیتوب کوونکی انټرفیس جوړوي او د لارې جدول ته اجازه ورکوي چې ترافیک ورته ولېږي۔ IKE ډیمون لا هم د حالت او د هر انټرفیس تګلاره نصبوي، او دا هغه تفصیل دی چې خلک یې پرېږدي کله چې پرېکړه کوي چې لارو کوډونه بدل کړي دي۔ دواړه ډیزاینونه د IPsec سره کوډ کوي؛ یوازې د غوراوي میکانیزم توپیر لري۔
لاندې پرتله د نمرې تختې په توګه نه، بلکې د ناکامۍ د نښو د ټولګې په توګه ولولئ، ځکه چې هېڅ کالم په خپله نه ګټي۔
| Aspect | Policy-based | Route-based |
|---|---|---|
| What selects traffic | Negotiated selectors | A route into the tunnel interface |
| Adding a network | Edit selectors on both peers | Add a route, widen the selector once |
| Dynamic routing | Awkward to run over the tunnel | Runs over the interface directly |
| Typical failure | Tunnel up, host outside the selector | Tunnel up, no route or wrong source |
د تګلارې پر بنسټ: ټاکونکی خود قرارداد دی
ټاکونکي په اړه خبرې کېږي، یوازې تنظیم نه شي۔ یوه خوا ته 10.10.0.0/16 او بلې خوا ته 10.10.1.0/24 وړاندې کړئ، بیا به اتحادیه هغه څه تر پوښښ لاندې راولي چې خبرې پرې ودرېدې او نور هر کوربه به بهر پاتې شي۔
د تنظیم فایل پر ځای نصب شوی حالت ولولئ۔ د Linux سیال کې د کرنل خپل جدولونه بنسټیز حقیقت دي، او ښيي چې له خبرو اترو څه ژوندي پاتې شول۔ هغه تګلاره چې سم پریفیکسونه ونوموي خو سمون لرونکی حالت نه لري، مانا یې دا ده چې اتحادیه هېڅکله راپاڅېده نه۔ د غلط پریفیکس لپاره د تګلارې سره جوړه شوې حالت مخالف مشکل دی، او هغه ټنل جوړوي چې روغ ښکاري خو یوه فرعي شبکه هېڅ ته نه رسېږي۔
sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sasدواړه پایلې د هغو پریفیکسونو سره پرتله کړئ چې فکر کوئ ساتل کېږي۔ همدا یوه پرتله د کار کوونکي ټنل او نه رسېدونکي سرور په اړه ډېری راپورونه حل کوي۔ دا هم ښيي چې کوم سیال باید بدل شي، ځکه چې ناسمون معمولاً یوازې په یوه لوري کې ښکاري۔
د لارې پر بنسټ: انټرفیس خود قرارداد دی
XFRM انټرفیس ټنل ته نوم او هویت ورکوي، او ترافیک ورته رسېږي ځکه چې د لارې جدول همدا وایي۔ بیا څو لرې پریفیکسونه د ټاکونکي ستونزې پر ځای د لارې ستونزه کېږي، او د لارې پروتوکول کولی شي هغه اعلان کړي۔ دا ریښتینی ګټه ده، نه کوډ کول۔
انټرفیس د تګلارې اړتیا نه لرې کوي۔ ډیمون د انټرفیس هویت سره تړلي قواعد د هر انټرفیس لپاره نصبوي، نو هغه بسته چې غلط انټرفیس ته راشي لا هم ناکامېږي۔ د سرچینې هغه پته چې سیال به یې ونه مني هم ناکامېږي، حتی د سمې لارې سره۔ د لارې پر بنسټ مانا دا ده چې ننوتل لار فیصله کوي، نه دا چې تګلاره ورکه شوه۔
sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10کله چې لار ځای پر ځای شوه، د انټرفیس شمېرونکي وګورئ۔ لار شته خو شمېرونکي صفر ته ولاړ دي مانا دا ده چې ټنل ته هېڅ نه سمون کېږي، چې معمولاً د نشتونکي لارې پر ځای نشتونکي حالت ته اشاره کوي۔
چېرې چې دا دواړه ډیزاینونه په رښتیا سره بېلېږي
شبکه اضافه کول تر ټولو پاکه ازموینه ده چې کوم ماډل تاسو ته ځان سمون خوري۔ د لارې پر بنسټ ډیزاین یوه لار زیاتوي او تر ټولو ډېر یو ځل ټاکونکی پراخوي، خو د تګلارې پر بنسټ ډیزاین د دواړو سیالانو په پریفیکس جوړو کې سمون کوي او بیا خبرې اترې کوي۔ دوه ثابتې فرعي شبکې هغه سمون بې ارزښته کوي، او شل یې پروژه جوړوي۔
هېڅ ماډل فایر وال نه بدلوي، او پرتلې معمولاً له دې نقطې مخکې درېږي۔ پراخه ټاکونکی یا پراخه لار فیصله کوي چې څه کوډ کېږي، نه دا چې څه اجازه لري۔
د MTU چلند هم په عمل کې توپیر لري۔ انکپسولیشن کارېدونکی بار کموي، او د لارې پر بنسټ انټرفیس خپل MTU وړي، نو د دواړو دروازو په MSS بندول د تور سوري هغه نښه نه پرېږدي چې کوچني ځوابونه راځي او لویونه ورکېږي۔ د تګلارې پر بنسټ ټنلونه له بلې خوا همدې دیوال ته ورتېږي، ځکه چې ټاکونکی د بستې د اندازې په اړه هېڅ نه وایي۔ بندول په قصد سره وټاکئ، نه دا چې سیال ملامت کړئ۔
پرته له دې چې د بېرته راستنېدو لاره له لاسه ورکړو، لېږد
د هر بدلون دمخه موجوده پریفیکس جوړې ولیکئ، بیا یوه اپلیکیشن لار وخوځوئ او له سره تر پایه یې وګورئ۔ جوړ شوی ټنل هغه ټنل نه دی چې لېږدوي، او توپیر د ځواب په لوري کې ښکاري۔
کله چې سیالان ونښلوي خو LAN کوربه ونه نښلوي، د بېرته راستنېدو لار او هغه سرچینه پته وګورئ چې لرې کوربه به یې کاروي۔ دوه انټرفیس لرونکی کوربه کولی شي له غلط انټرفیس څخه ځواب ووايي، او هېڅ د ټاکونکي بدلون هغه نه سمومي۔ د الګوریتمونو له سمون دمخه په دواړو سرو ترافیک ونیسئ۔
ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-connsکار پر مهال هغه مدیریتي لار وساتئ چې ټنل ته تړلې نه وي۔ بیرته تلل اسانه دي کله چې د دروازې خپله لاسرسی هغې اړیکې ته نه وي سپاره چې تاسو یې غلطي لرې کوئ۔