අඩවි-අඩවි VPN එකට දෙවන උපජාලය එකතු කිරීම: මාර්ග දෙකක්
ප්‍රතිපත්ති මත පදනම් වූ ටනල්වලට දෙපැත්තේම ගැළපෙන තෝරක අවශ්‍යයි; මාර්ග මත පදනම් වූවන්ට මාර්ගයක් අවශ්‍යයි. නිවැරදි මාර්ගය තෝරා පළමුව ආපසු මාර්ගය නිවැරදි කරන්න.
ක්‍රියාකාරී අඩවි-අඩවි ටනලයකට දෙවන උපජාලයක් එකතු කිරීම එක් නිර්මාණයක මිනිත්තු පහක් සහ අනෙකෙහි පාහේ මුළු සවසම ගනී. ටනලය ඔබ නම් කරන පූර්ව ලක්ෂණ සඳහා මාර්ග ස්ථාපනය කරන විට ඔබ මාර්ගයක් එකතු කරන අතර ගමනාගමනය එය අනුගමනය කරයි. එය එක් ස්ථිර තෝරක යුගලයක් සාකච්ඡා කරන විට, දෙපැත්තම ගැළපෙන යුගලයකට එකඟ වන තෙක් නව පූර්ව ලක්ෂණය ආරක්ෂාවකින් තොරව පවතී. කරුණු තුනක් තීරණය කරයි: එක් එක් පැත්තේ වින්‍යාසය සැබවින්ම විස්තර කරන්නේ කුමක්ද, සාකච්ඡා කළ ගමනාගමනය කුඩාම ගැළපෙන යුගලයට පටු වේද, නව පරාසයේ ආපසු මාර්ගය කා සතුද.
කර්නලය කියවන්න, තත්ත්ව ලේබලය නොවේ
සම්බන්ධය යැයි වාර්තා කරන ටනලයක් අවම වශයෙන් එක් දරු සංගමයක් ස්ථාපනය කර ඇත, නමුත් ඔබ සිතන එක නොවිය හැක. Linux හි කර්නලය යෙදෙන දේ පෙන්වයි: ip xfrm policy තෝරක යුගල ලැයිස්තුගත කරන අතර swanctl --list-sas (හෝ පැරණි ipsec statusall) දෙපැත්ත එකඟ වූ දේ දිශාව අනුව ගමනාගමන තෝරක සමඟ පෙන්වයි. නව පූර්ව ලක්ෂණය දෙකෙහිම නොමැති නම්, වින්‍යාස ගොනුව කුමක් කීවත් එය ආරක්ෂාවකින් තොරය.
මෙය මාර්ග වගුව සමඟ සසඳන්න. මාර්ග මත පදනම් වූ සැලැස්මක ටනල උපාංගය ආරක්ෂිත පූර්ව ලක්ෂණ සඳහා ඊළඟ පියවරයි. ප්‍රතිපත්ති මත පදනම් වූ සැලැස්මක බොහෝ විට දුරස්ථ උපජාලයට වෙනම මාර්ගයක් නොමැත, පෙරනිමි මාර්ගය පමණි, මන්ද ගමනාගමනය තෝරන්නේ වගුව නොව ප්‍රතිපත්තියයි.
ප්‍රතිපත්ති මත පදනම්: දෙපැත්තම නව පූර්ව ලක්ෂණය ලැයිස්තුගත කළ යුතුය
strongSwan පදවල තෝරකය පිහිටන්නේ දරු වින්‍යාසයේ local_ts සහ remote_ts තුළය, leftsubnet සහ rightsubnet හි අනුප්‍රාප්තිකයන්. නව පූර්ව ලක්ෂණය දෙපැත්තේම කැටපත් ලෙස දිස්විය යුතුය: අඩවිය A දේශීය ලෙස හඳුන්වන දේ අඩවිය B දුරස්ථ ලෙස හඳුන්වයි. නොගැළපීම පිරිසිදු දෝෂයක් කලාතුරකින් ලබා දෙයි. දෙපැත්ත ඡේදනය දක්වා පටු වේ, පැරණි පූර්ව ලක්ෂණය දිගටම ක්‍රියා කරන අතර නව එක පමණක් නිහඬව අසාර්ථක වේ.
swanctl --load-conns
swanctl --initiate --child <child-name>
swanctl --list-sas
ip xfrm policypfSense හෝ OPNsense හි එයින් අදහස් වන්නේ නව දේශීය උපජාලය නව දුරස්ථ උපජාලය සමඟ යුගල කරන දෙවන Phase 2 සටහනක් සහ පසුව යෙදවීමයි. පැරණි සටහන තබා ගන්න; එය ප්‍රතිස්ථාපනය කිරීම මුල් උපජාලය එකතු කරනවා වෙනුවට ගෙනයයි. දැනටමත් පවතින Phase 2 එකක් 0.0.0.0/0 වැනි මහා ජාලයක් හෝ සාරාංශ පරාසයක් ආවරණය කරන්නේ නම්, එය අසල පටු සටහනක් එකතු නොකරන්න: අතිච්ඡාදනය වන තෝරක තරඟකාරී ප්‍රතිපත්ති ස්ථාපනය කරන අතර ඇගයීම් අනුපිළිවෙල ජයග්‍රාහකයා තීරණය කරයි.
IKEv1 සෑම උපජාල යුගලයක්ම තමන්ගේම Phase 2 බවට පත් කරන අතර, හුවමාරුවකට එක් යුගලයක් ගන්නා පැත්ත ඉතිරිය ඉවත ලයි. IKEv2 එක් දරුවෙකු තුළ තෝරක යුගල කිහිපයක් ගෙන යා හැක, නමුත් ක්‍රියාත්මක කිරීම් දෙකම පිළිගත්තොත් පමණි. swanctl --list-sas හි ලැයිස්තුව සත්‍යයයි; ඔබ ලියූ දේ ඉල්ලීමකි.
මාර්ග මත පදනම්: මාර්ගයම ප්‍රතිපත්තියයි
XFRM අතුරුමුහුණතක් හෝ VTI උපාංගයක් මාර්ග වගුව අනුව ගමනාගමනය ගෙන යයි. නව පූර්ව ලක්ෂණය අඩවි දෙකේම උපාංගයට යොමු කරන අතර, අතුරුමුහුණතේ පරිවර්තනයට බැඳුණු තත්ත්වය යෙදේ. සමමුහුර්ත කිරීමට තෝරක යුගලයක් නැත, එබැවින් උපජාල වැඩි වන විට මෙම නිර්මාණය හොඳින් පරිමාණය වේ. strongSwan යැවීමේ මාර්ගෝපදේශය කර්නල පැත්ත විස්තරාත්මකව සලකා බලයි.
ip route add 192.168.60.0/24 dev xfrm0
ip route get 192.168.60.10WireGuard තවත් ඉදිරියට යයි. AllowedIPs එකම වේලාවක ක්‍රිප්ටෝ අවසර ලැයිස්තුව වන අතර wg-quick හරහා මාර්ග වගු සටහනද වේ. එක් පැත්තකට පමණක් පූර්ව ලක්ෂණය එකතු කරන්න, එවිට අත්වැල් ගැසීමක්, පිටවන පැකට් සහ නිහඬතාවක් ලැබේ, මන්ද දුරස්ථ පැත්ත මූලාශ්‍රය තම ලැයිස්තුවේ නොමැති පැකට් ඉවත ලයි. wg set ආකාරය මුළු ලැයිස්තුවම ප්‍රතිස්ථාපනය කරයි, එබැවින් කලින් ක්‍රියා කළ පූර්ව ලක්ෂණ නැවත ලියන්න, එසේ නොමැති නම් ඒවා කපා හරිනු ඇත:
wg set wg0 peer <PUBKEY> allowed-ips 192.168.10.0/24,192.168.60.0/24
ip route add 192.168.60.0/24 dev wg0wg-quick වෙනුවට wg set භාවිතා කළ විට එම දෙවන විධානය අත්‍යවශ්‍යයි. කර්නලය නව ලැයිස්තුව වහාම පිළිගනී, නමුත් කිසිවක් ඒ සඳහා මාර්ගයක් එකතු නොකරයි, එබැවින් දේශීයව ජනනය වන ගමනාගමනය තවමත් පෙරනිමි ද්වාරය හරහා පිටවේ. නව WireGuard උපජාලයක් ටනල සත්කාරකයෙන් ක්‍රියා කර ලැප්ටොප් එකෙන් ක්‍රියා නොකරන පොදුම හේතුව මෙයයි.
ආපසු මාර්ගය ටනලයට වඩා බොහෝ විට අසාර්ථක වේ
නව දුරස්ථ උපජාලයේ සත්කාරක පිළිතුරු VPN ද්වාරය හරහා ආපසු යැවිය යුතුය. එම ද්වාරය ඔවුන්ගේ පෙරනිමි රවුටරය නොවන විට පිළිතුර LAN රවුටරය වෙත යයි, එය එය ඉවත ලයි හෝ පෞද්ගලික මූලාශ්‍ර ලිපිනයක් සමඟ අන්තර්ජාලයට යවයි. ද්වාරයෙන් නොව දුරස්ථ පැත්තේ සත්කාරකයෙන් පරීක්ෂා කරන්න: Linux හි ip route get 10.30.20.15 හෝ PowerShell හි Find-NetRoute -RemoteIPAddress 10.30.20.15 සත්කාරකය ඇත්තටම භාවිතා කරන ඊළඟ පියවර පෙන්වයි. පිළිතුර ටනලයේ අන්ත ලක්ෂ්‍යය නොවේ නම්, එහි නව පූර්ව ලක්ෂණය සඳහා ස්ථිතික මාර්ගයක් එකතු කරන්න.
ආපසු මාර්ගය නොමැති අඩවියේ මූලාශ්‍ර NAT යනු නීත්‍යානුකූල විකල්පයක් වන අතර බොහෝ hub-and-spoke යෙදවුම් සෑම සේවාදායකයක්ම ස්පර්ශ නොකර සිටින ක්‍රමයද එයයි. ගමනාන්ත පැත්තේ ද්වාරයේද නව පූර්ව ලක්ෂණයට එය යොදන්න:
iptables -t nat -A POSTROUTING -s 10.30.20.0/24 -d 192.168.60.0/24 -j MASQUERADEපිරිවැය සැබෑය. දුරස්ථ ලොග නිර්වචන මූලාශ්‍ර ලිපින පෙන්වීම නවත්වන අතර මුල් උපජාලය මත පදනම් වූ ෆයර්වෝල් නීති ද්වාරය සඳහා එක් නීතියකට එකතු වේ. මාර්ගයක් නොතිබූ නිසා නොව, හිතාමතාම එය තෝරන්න.
ෆයර්වෝල් යනු ආපසු මාර්ගයේ අනෙක් අඩකි. කලාප මත පදනම් වූ උපාංග පවතින ටනල අතුරුමුහුණතේ කලාපය නව උපජාලයට ස්වයංක්‍රීයව දිගු නොකරන අතර පැරණි පූර්ව ලක්ෂණය සඳහා ලියූ නීතියක් නොගැළපේ. IPsec ට දොස් නැගීමට පෙර නව උපජාලය කලාපයට හෝ දිශා දෙකේම නීති යුගලයට එකතු කරන්න.
ප්‍රශ්න තුනකින් තීරණය කර, පසුව ගමනාගමනයෙන් තහවුරු කරන්න
කෙටි අනුවාදය: පැත්තේ වින්‍යාසය පූර්ව ලක්ෂණ නම් කරයිද (ප්‍රතිපත්ති මත පදනම්), නැතහොත් ගමනාගමනය අතුරුමුහුණතකට මාර්ගගත වේද (මාර්ග මත පදනම්)? දෙකෙළවරම නව පූර්ව ලක්ෂණය ලැයිස්තුගත කරයිද? නව උපජාලයේ සිට මුල් මූලාශ්‍ර පරාසයට ආපසු මාර්ගයක් තිබේද?
| Tunnel style | Where the prefix goes | What breaks if you skip it |
|---|---|---|
| Policy-based IPsec | Selector pair on both peers | Old subnets work, the new one fails with no clear error |
| Route-based XFRM or VTI | Route into the device on both sites | Packets routed but not transformed, or the state never matches |
| WireGuard | AllowedIPs on both peers plus a route | Handshake succeeds, replies are dropped |
| Overlapping supernet | Adjust the existing entry instead | A shadowed policy wins or loses by evaluation order |
තහවුරු කිරීම යනු බොහෝ වෙනස්කම් ඉතා ඉක්මනින් වැසෙන තැනය. ද්වාරයෙන් කරන පිං පoco, මන්ද ද්වාරය තමන්ගෙන්ම යවන අතර බොහෝ විට සත්කාරකයට වඩා වෙනස් ප්‍රතිපත්තියකට ගැළපේ. නව උපජාලයේ සත්කාරකයෙන් පිං කරන්න, පසුව වෙනසට හේතු වූ යෙදුම ධාවනය කර, තත්ත්ව අයිකනය නොව කවුන්ටර බලන්න.
tcpdump -ni any host 192.168.60.10 and (esp or udp port 4500)
ip xfrm state
wg showප්‍රතිපත්ති මත පදනම් වූ ටනලයක ip xfrm state හි කවුන්ටර දිශා දෙකේම ඉහළ යා යුතුය; පැතැලි කවුන්ටර යනු පැකට් මාර්ගගත වූ නමුත් තෝරා නොගත් බවයි. WireGuard හි wg show පැත්තකට මාරු කිරීම වාර්තා කරන අතර ශුන්‍ය ලැබුණු බයිට් සහිත අත්වැල් ගැසීමක් දුරස්ථ පැත්තේ ලැයිස්තුවට හෝ එහි ආපසු මාර්ගයට යොමු කරයි.
පූර්ව ලක්ෂණය, පැත්තේ තෝරකය හෝ මාර්ගය, ආපසු මාර්ග තීරණය සහ ෆයර්වෝල් සටහන ඉතිරි ටනල ලැයිස්තුව සමඟ සටහන් කර අවසන් කරන්න. පසුව එක් ද්වාරයක් නැවත අරඹා නැවත පරීක්ෂා කරන්න: අතින් එකතු කළ මාර්ගයක් අතුරුදහන් වන අතර ඊළඟ පුද්ගලයාට එය නැවත සොයා ගැනීමට සිදු නොවිය යුතුය.