د VPN په ځانګړي پته کې واقعاً څوک ځواب ورکوي؟

هغه پته چې د سازمان په تخصیص کې بې استفادې پروت وي اورېدونکی نه دی، او د هغې د فایر وال سره یوځای کول یوه هم نه جوړوي۔ په هغه پته باید یو څه IKE پای ته ورسوي، او میکانیزم په دې پورې توپیر لري چې ګېټوې پته لري که پورتنۍ وسیله یې ژباړي۔ د پاکټ لاره همدا دواړه بېلوي، او دا هم هماغه ټاکي چې تر څو چې څوک د بدلون غوښتنه پرانیزي، تاسو ته د پلیټفارم کومه ځانګړنه ورته اړتیا ده۔ لومړی لاره ماډل کړئ، بیا وټاکئ۔

د پتې شاته د پاکټ لاره

سیال IKE هغې پتې ته لېږي چې ورته ورکړل شوې، په UDP 500 یا په UDP 4500 کله چې د NAT تېرېدل په کار وي۔ هره وسیله چې په لاره کې هغه پته ولري، یا ډاټاګرام په محلي ډول ترلاسه کوي او ځواب ورکوي، یا یې بل ځای ته لېږي۔ دا یوازې دوه امکانونه دي، او په دې لیکنه کې پاتې هر څه له دې څخه راځي چې کوم یو ریښتیا دی۔

محلي ترلاسه کول یعنې په هغې وسیله کې د هغې پتې سره تړلی سوکیټ شته۔ لېږل یعنې ډاټاګرام بیا لیکل کېږي او بل پای ټکي ته لېږل کېږي، چې بیا هلته سوکیټ وي۔ د فایر وال هغه قاعده چې UDP 500 ته اجازه ورکوي، تاسو ته هېڅ نه وایي چې له دې دواړو کوم یو پېښېږي۔

له هر څه لاس کېدو مخکې ریکارډ ولیکئ: هغه پته چې سیالان ورسره اړیکه کوي، پورتنۍ شبکه یې څنګه رسوي، هغه محلي انټرفیس یا منطقي پای ټکی چې ترلاسه یې کوي، او هغه پروسه چې IKE ته ځواب وایي۔ څلور کرښې، او هر یو یې کتل کېدای شي۔ کله چې یو له دوی ناڅرګند وي، هغه ناڅرګندتیا د ډیزاین کار دی، نه وروسته ټاکل کېدونکې تطبیق تفصیل۔ د بدلون غوښتنې له تصویب وروسته یې ډکول هغه لار ده چې ژباړې قاعده ناسمې وسیلې ته ورزیاته شي۔

ماډل A: ګېټوې پته لري

په لومړي ماډل کې ګېټوې پخپله پته ساتي، یا د موجود انټرفیس په دویمه پته توګه، یا د ځانګړي انټرفیس په پته توګه، یا د loopback په توګه چې پلیټفارم یې د تونل پای ټکي په توګه ملاتړ کوي۔ دا درې بېلې ځانګړنې دي د درې بېلو کنفیګریشن لارو سره، او هغه پلیټفارم چې یوې ته ملاتړ کوي کېدای شي نورو ته نه کوي۔

د هغې شاوخوا د ډیزاین کولو مخکې تایید کړئ چې پلیټفارم او خپرونه دقیقاً همدا ترتیب ملاتړ کوي۔ روټ شوی بلاک، انټرفیس کې اضافه پته او loopback پای ټکی یو بل سره بدلېدونکي نه دي، او د یوې خپرونې اسناد د بلې د ورته چلند ژمنه نه کوي۔

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

اورېدونکی سوکیټ همدا ثبوت دی۔ که پتې ته هېڅ نه وي تړل شوی، روټینګ جدول هر څه ووایي، ګېټوې پای ته رسوونکی نه دی، او د پاکټ نیول به وښیي چې ډاټاګرامونه راځي خو ځواب ورکوونکی نشته۔

په ټوپولوژي کې بل چېرته موجود سبنیټ کې دویم انټرفیس مه ږدئ او مه انګېرئ چې پلیټفارم به یې سم کړي۔ پرتله کوونکي انټرفیس سبنیټونه ناڅرګنده سرچینه ټاکل جوړوي او په ډېرو پلیټفارمونو کې کنفیګر کولو ته بشپړ انکار کوي۔

ماډل B: پورتنۍ وسیله یې ژباړي

په دویم ماډل کې پورتنۍ فایر وال ځانګړې پته ساتي او ترافیک بلې VPN ګېټوې ته لېږي۔ دا د منزل ژباړه ده د بېرته راستنېدونکې لارې سره، او تر هغه پورې چې همداسې مستند وي، بشپړه سمه طرحه ده۔

خو دا ثبوت نه دی چې پورتنۍ وسیلې محلي VPN سوکیټ ترلاسه کړی دی۔ ژباړه پاکټونه لېږي؛ پورتنۍ بکس IKE ځواب ورکوونکی نه جوړوي۔ که پورتنی قاعده لرې شي یا د هغې بېرته راستنېدونکې لاره ماتې شي، VPN ودرېږي که څه هم ګېټوې روغ او د هغې خپل اورېدونکي نه وي زیانمن شوي۔

دواړه پتې ولیکئ: هغه چې سیالان ورسره اړیکه لري او هغه چې ګېټوې واقعاً ګوري۔ بیا ټرانسپورټ او بېرته راستنېدونکې لاره ولیکئ، ځکه هغه ژباړه چې د UDP 500 لپاره کار کوي خو د کپسول شوي ESP لپاره نه، ونښلي او بیا به ترافیک نشي وړلی، دا د وروسته ډیبګ کولو لپاره ګډوډونکې نیمګړتیا ده۔

هویت بهرنۍ پته نه ده

IPsec د تونل پای ټکی له هغه ترافیک څخه بېلوي چې ساتنه یې کوي، او معماري هغه پرېکړې په بېلو ځایونو کې ساتي۔ د هغې پتې بدلول چې سیالان ورسره اړیکه کوي، په خپله نه بدلوي چې کومې داخلي پری فیکسونه اجازه لري، کومې لارې نصبېږي، یا ناسته کومو سرچینو ته رسېدای شي۔

تصدیق شوی هویت بیا بېل دی۔ IKEv2 هغه هویت پیلوډ او تصدیق تبادله وړي چې اړتیا نه لري د بهرنۍ پاکټ پتې سره سمون ولري، او همدې له امله ژباړل شوې طرحه لا هم سم تصدیق کېدای شي۔

هغه خپلواکې ګټوره ده او په عین وخت کې کړکېچ هم۔ دوه DNS نومونه چې یو عادي اورېدونکي ته حل کېږي بېل VPN بیکنډونه نه ټاکي، او هغه سند چې یو هویت نوموي به هغه سیال چې بل تمه لري قناعت ونه کړي۔ د دې له انګېرنې مخکې چې یوازې پته دا ټاکي، تایید کړئ چې سیال څه تصدیقوي۔

د یوې اړیکې کتو سره طرحه ومنئ

وګورئ چې نوې اجازه شوې اړیکه واقعاً چېرته رسول کېږي، کوم هویت ځواب وایي، او بیا کومه شخصي بهیر ته اجازه ورکول کېږي۔ درې کتنې، درې بېلې طبقې، او د پتې بریالۍ عامه پوښتنه د دوی له یوې هم نه ازموي۔

منفي حالت هم وساتئ: هغه سیال چې باید ومنل نه شي، یا هغه داخلي پری فیکس چې باید لاسرسی ورته نه وي، د بدلون وروسته تصدیق شوی۔ په سر کې لیکل شوی ریکارډ هماغه دی چې د حافظې څخه د طرحې بیا جوړولو پرته دا ازموینه ممکنوي۔

د دې ټولو معنا دا ده چې د شبکې مالک ته اجازه ورکړل شي د تخصیص یوه ملاتړ شوې طریقه وټاکي، پرځای د دې چې پر یوې عمومي ادعا تکیه وکړي چې هره فایر وال د اضافي پتې سره څه کولای شي۔ هماغه ادعا هغه ځای دی چې دا طرحې هلته نیمګړې کېږي، ځکه په هر پلیټفارم کې باوري ښکاري او په عمومي ډول په هیڅ یو هم سمه نه ده۔ د څلورو کرښو ریکارډ دا ستاسو د پلیټفارم لپاره په لسو دقیقو کې پرېکړه کوي۔