دوه پرلهپسې VPN ټوپونه: ستاسو ترافیک واقعاً څوک ګوري؟
سریالي ټوپونه په لومړي ګیټوی کې ډیکریپټ او بیا انکرپټ کوي؛ ننوتلي ټوپونه یوازې بهرنۍ طبقه لیرې کوي. دواړه ډیزاینونه وګورئ او وپوهېږئ کوم آپریټر څه لولي.
هر د پیرودونکي پروفایل یو سرور نوموي، نو د کاروونکي له ځایه یو ټونل او یو ځای شته چې ساتنه هلته پای ته رسېږي۔ هغه څه چې د لومړي ګیټوی وروسته پېښېږي، د ډیزاین هغه پرېکړه ده چې پیرودونکی یې هېڅکله نه ویني، او دواړه عام ډیزاینونه د کتنې لاندې ډېر توپیر لري۔ په سریاله زنځیر کې لومړی ګیټوی ډیکریپټ کوي او بیا انکرپټ کوي۔ په ننوتلي زنځیر کې بهرنۍ طبقه لیرې کوي او هغه دنننی ټونل لېږدوي چې نه شي خلاصولی۔ د ټوپونو شمېر په دواړو کې یو شان دی، نو توپیر باید وکښل شي نه شمېرل۔
له پیرودونکي پیل کړئ او دواړه سرونه ونوموئ
له هغه ځایه پیل کړئ چې کاروونکی پیل کوي، په اړیکې پروفایل کې۔ دا یو لرې پته، یوه تصدیق طریقه او، کله چې ډیزاین ملاتړ کوي، د لارو لړلیک لري۔ هغه بهرنی ټونل له پیرودونکي څخه ګیټوی A ته ونوموئ او بېلګې پتې ورکړئ: د پیرودونکي ټونل پته 10.77.0.2، د A پته 10.77.0.1، او د A عامه پای ټکی 198.51.100.10، چې د TEST-NET-2 اسنادو له ساحې څخه اخیستل شوې ترڅو په بېلګه کې هېڅ شی له ریښتیني کوربه سره ټکر ونه کړي۔
په دې پروفایل کې د ګیټوی B هېڅ یادونه نشته، او دا نقص نه دی۔ دویم ټوپ A ته اړه لري، او د پیرودونکي یوازینی مکلفیت دا دی چې ترافیک A ته ورسوي او هغه څه ومني چې بېرته راځي۔ آیا A ټونل پای ته رسوي، لېږدوي یې یا نوی خلاصوي — دا هغه پوښتنه ده چې د دې کتنې پاتې برخه ځوابوي، او همدا ټاکي چې A څه لولي۔
سریاله: A ډیکریپټ کوي، بیا انکرپټ
په سریاله ډیزاین کې A ترافیک دوه ځله پای ته رسوي۔ له پیرودونکي ساتنه لیرې کوي، د اپلیکیشن IP پیکټ ترلاسه کوي، او بیا هغه پیکټ د دویم ټونل له لارې لېږي چې A یې B ته جوړوي۔ د دې دوو عملیاتو ترمنځ پیکټ د A په لېږد لار کې د خصوصي منزل ته پتې شوي عادي IP پیکټ په توګه پراته وي۔
له دې دوه پایلې راځي چې باید روښانه وویل شي۔ A کولی شي په دنني پیکټ باندې پالیسي پلي کړي، د لارو، فلټر قاعدو او د سرچینې او منزل ثبت په بڼه، او A باید دوه سیټه اعتبارنامه وساتي: یو د پیرودونکي لپاره د سرور په توګه او بل د B د پیرودونکي په توګه۔ ساتنه په هر لحظه شته، خو ساتل شوی شی په A کې خپله هویت بدلوي۔
له دې څخه دا نه راځي چې A د اپلیکیشن روښانه متن لولي۔ کله چې پیرودونکی او خدمت TLS چلوي او د یو بل سندونه تصدیقوي، A د لوستلو وړ غوښتنې پرځای TLS ریکارډ جریان ویني۔ د دې تصدیق چې هغه ساتنه چېرې پای ته رسېږي د ټونل انځور نه، د خدمت د سندونو زنځیر ته کتنې ته اړتیا لري۔
ننوتلی: A یوازې بهرنۍ طبقه لیرې کوي
په ننوتلي ډیزاین کې پیرودونکی لومړی B ته دنننی ټونل جوړوي او بیا هغه ټونل د بهرني په داخل کې A ته وړي۔ A بهرنی سرلیک لیرې کوي، دنننی ټونل مومي او پرته له دې چې کلي یې وساتي لېږدوي، نو دنننې ساتنه لا هم په B کې پای ته رسېږي۔
بیا د پیرودونکي پورتنۍ لینک دوه طبقې ګرځوي، پداسې حال کې چې د A او B ترمنځ لار یوه۔ A د دنني ټونل بهرنۍ پتې ویني، چې د دې پوهېدو لپاره بس ده چې ترافیک شته او نږدې چېرته ځي، او د بار لوستلو لپاره بس نه ده۔ له سریالې پېښې سره ټول توپیر همدا دی، او هېڅ د ټوپونو شمېرونکی یې نه ښيي۔ هغه څه چې A لا هم کولی شي هغه دا دي چې د هغه څه لېږدول رد کړي چې نه شي لوستلی، او دا د هغه ګیټوی آپریټر لپاره تل خلاص دی۔
ننوتل د دې ځانګړنې بیه اخلي۔ هر طبقه د سرلیک اضافي لګښت زیاتوي، نو د MTU او MSS پلان اړین کېږي نه یوازې ښایسته، او هغه لار چې په یوه طبقه کار کوي ممکن په دوه طبقه لوی پیکټونه په خاموشۍ وغورځوي۔ هر طبقه خپل د بیا نښلولو او ژوندي ساتلو چلند ته هم اړتیا لري، او په یوه طبقه کې نیمګړتیا د بل له لارې لکه جزوي بندیدل ښکاري۔
یوازې ټونلونه نه، کتونکي وکښئ
ټونلونه د انځور اسانه برخه ده۔ کتونکي هغه څه دي چې ډیزاین یې په اړه دی، نو د هر لیدلوري لپاره یوه کرښه ولیکئ او ډکه یې کړئ چې هر یو واقعاً څه لولي۔
| Vantage point | Serial chain | Nested chain |
|---|---|---|
| Client's access network | Outer tunnel only | Outer tunnel only |
| Operator of A | Inner IP packet between A and B | Outer addresses of the inner tunnel, not its payload |
| Path between A and B | Second tunnel | Second tunnel |
| Operator of B | Inner packet re-originated by A | Payload after the inner layer is removed |
| Service edge | Traffic from the exit address | Traffic from the exit address |
دوه کرښې تل ګډېږي: د A آپریټر او د پیرودونکي د ټونل برابرونکی۔ دوی کېدای شي یو واحد وي، او جلا ګیټوی نومونه دوی خپلواک نه کوي۔ خپلواک مالکیت جلا اداري کنټرول، جلا اعتبارنامه او جلا ثبت ته اړتیا لري۔
میتاډاټا په دواړه ډیزاینونو کې ژوندي پاتې کېږي۔ وخت، د پیکټونو اندازه او د اړیکو شمېر په هر ټوپ کې د کتلو وړ پاتې کېږي، نو دوه ټوپونه د سیګنال لیرې کولو پرځای د اړیکې لګښت لوړوي۔ هغه ډیزاین چې نه لیدل کېدل ژمنه کوي باید د دې لړلیک سره وکتل شي مخکې لدې چې څوک پرې تکیه وکړي۔
مخکې لدې چې وټاکئ د نیمګړتیا لارې وګرځئ
له پیرودونکي څخه په قصدی توګه شیان مات کړئ، په هغه ترتیب چې کاروونکی ورسره مخامخ کېږي۔ له انټرفیس او د هغې MTU پیل کړئ، ځکه ننوتل د تصدیق په پرتله ډېر ژر د پیکټ اندازې په سر ناکامېږي۔
ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1بیا د ساتنې پای ټکي تایید کړئ نه دا چې فرض یې کړئ۔ له کوم ټونل چې خلاص دی د هغې له داخله خدمت څخه د هغې سند وغواړئ، او هغه زنځیر چې پیرودونکی یې ویني د هغه زنځیر سره پرتله کړئ چې خدمت واقعاً وړاندې کوي۔ هغه ګیټوی چې بیا لاسلیک یا مداخله کوي هغه سند بدلوي، او کتنه په یوه کمانډ کې ښکاره کېږي۔
openssl s_client -connect intranet.example.com:443 -brief < /dev/nullد بیا نښلولو میټریکس سره پای ته ورسئ: د پیرودونکي ټونل لوېږي، د B ټونل لوېږي، د A او B ترمنځ لار بدلېږي۔ ولیکئ څه بېرته راځي او څه نه، او آیا دنننې اړیکه کله هم د خپل پلان شوي وړونکي څخه بهر لار ته لوېږي۔ هغه پتې ثبت کړئ چې هر ازموینه کارولې، ځکه په بله لاسرسي شبکه کې تکرار یې بلې پوښتنې ته ځواب ورکوي۔ هر د بیا نښلولو وروسته د MTU ازموینه هم تکرار کړئ، ځکه بدله شوې لار کولی شي د یوې هم کنفیګوریشن کرښې د نه خوځېدو سره د کارېدو وړ اندازه کمه کړي۔
سریاله وټاکئ کله چې A باید په دنني پیکټ پالیسي پلي کړي، یا کله چې پیرودونکی دوه پرتونه ټونلونه نه شي چلولی۔ ننوتل وټاکئ کله چې دنننی بار باید په A کې نالوستل شوی پاتې شي۔ ټاکنه د هغې کتونکو او د MTU شمېرو سره ولیکئ، او بل کس به اړ نه وي چې د یوې پوښتنې ځواب لپاره ټول انځور بیا وکښي۔