L2TP, GRE හෝ IPsec: සැසිය ගෙනයා යුත්තේ කුමන ස්ථරයද?
L2TP PPP සැසි ගෙනයයි, GRE මාර්ගගත පැකට්, IPsec තෝරන ලද ට්‍රැෆික් ආරක්ෂා කරයි. සෑම ස්ථරයකටම එක් කාර්යයක් දෙන්න, පසුව එකින් එක වෙන වෙනම තහවුරු කරන්න.
එකම නිර්මාණ සටහනක L2TP, GRE සහ IPsec එකට එන සෑම විටම ප්‍රශ්න දෙකක් පැටලෙයි: මම කුමන සැසිය ගෙනයනවාද, සහ එය ආරක්ෂා කරන්නේ කුමන ස්ථරයද? පළමුවැන්න වැරදුණොත් පහළ සියල්ල අභ්‍යන්තරව සුසංගතව පවතින නමුත් වැරදි ගැටලුව විසඳයි — පරිශීලකයන්ට ඩයල්-ඉන් කිරීමට අවශ්‍ය වූ තැනක ගොඩනගන ලද මාර්ගගත ආවරණයක්, නැතහොත් අඩවි-සිට-අඩවි ද්වාරයක් වෙනුවට සිටින ඩයල්-ඉන් සාන්ද්‍රකයක්. පහත කාර්ය පත්‍රිකාව කිසිවෙකු උපාංගයකට පිවිසීමට පෙර එම වෙනස බලකොට ලබා දෙයි. එය පිළිවෙලට පුරවන්න, එවිට සෑම පේළියක්ම තනිවම පරීක්ෂා කළ හැකි දෙයක් බවට පත්වේ.
ප්‍රොටෝකෝල ලැයිස්තුවෙන් නොව සැසියෙන් පටන් ගන්න
PPP සැසියක් රඳවා ගන්නා දුරස්ථ පරිශීලකයා සහ ද්වාර දෙකක් අතර මාර්ගගත ආවරණය දෙකම අවසානයේ IPsec තුළ ඔතා ගත්තත් වෙනස් ජාල සම්බන්ධතා වේ. පළමුවැන්න සෑම පරිශීලකයෙකුගේම සබැඳිය අවසන් කරන අතර ලිපින වෙන් කිරීම, පුද්ගලයෙකු හෝ උපාංගයක් සත්‍යාපනය කිරීම, සහ එම පරිශීලකයාට ළඟා විය හැකි අභ්‍යන්තර ජාල නම් කරන ප්‍රතිපත්තියක් අවශ්‍ය වේ. දෙවැන්න කිසිවෙකු ඩයල්-ඉන් නොකරන අඩවි අතර පැකට් ඉදිරියට යවයි.
ඔබ දෙකෙන් කුමක් ගොඩනගනවාදැයි නම් කරන එක් වාක්‍යයක් ලියන්න, පසුව එය ක්‍රියාත්මක කළ යුතු පුද්ගලයා ඔබම යැයි සිතා නැවත කියවන්න. වාක්‍යයට «සහ» යන වචනය අවශ්‍ය නම්, ඔබ දෙකම ගොඩනගනවා, සහ කාර්ය පත්‍රිකාවට එක් එක් අයට අඩක් සේවය කරන එක් සම්මුති තීරුවක් වෙනුවට තීරු දෙකක් අවශ්‍ය වේ. එය පරිශීලකයා නම් කරත් ලිපින තටාකයක් නොමැති නම්, නැතහොත් උපසර්ගයක් නම් කරත් ඉදිරියට යැවීමේ ප්‍රතිපත්තියක් නොමැති නම්, වාක්‍යය තවමත් අසම්පූර්ණය. වචන සැකැස්ම නිලධාරී ලෙස ශබ්ද වේ, නමුත් එසේ නොවුනහොත් සහාය මේස ටිකට්පතකින් සොයාගැනෙන නිර්මාණයක් අල්ලා ගැනීමට ඇති ලාභම තැන මෙයයි.
සෑම ස්ථරයකටම හරියටම එක් කාර්යයක් දෙන්න
L2TPv2 එහි අන්ත ලක්ෂ්‍ය දෙක අතර PPP සැසි ගෙනයයි. PPP සබැඳි සාකච්ඡාව සහ එය සාකච්ඡා වූ විට පරිශීලක සත්‍යාපනය ක්‍රියාත්මක කරයි; L2TP කිසිදු ගුප්තකේතනයක් එකතු නොකරයි, එබැවින් හුදු L2TP ඩීමනය IPsec ආරක්ෂක සම්බන්ධතාවයේ කිසිදු කොටසක් ක්‍රියාත්මක නොකරන අතර ඔබ දැනටමත් විශ්වාස කරන සබැඳියක් තුළ පමණක් රැඳේ.
GRE යනු ලිපින දෙකක් අතර ආවරණයකි. එය ජාල ස්ථර පැකට් තාර්කික ආවරණයක් හරහා ගෙනයන අතර තනිවම රහස්‍යභාවයක් හෝ සත්‍යාපිත හවුල්කරු අනන්‍යතාවයක් ලබා නොදේ. එය දෝෂයක් නොවේ: ශීර්ෂය සරලව නිර්මාණය කර ඇත්තේ ඉදිරියට යැවීමේ දෘඩාංග මත සැකසීම ලාභදායීව තබා ගැනීමටය. ප්‍රතිඵලය නම් GRE මෙම පැකට්ටුව ලිපින දෙකක් අතර ගෙනයා යුත්තේ කෙසේද යන ප්‍රශ්නයට පමණක් පිළිතුරු දෙන අතර වෙන කිසිවකට නොවේ, එය ඔබ එයින් ඇසිය යුතු ප්‍රශ්නය හරියටම එයයි.
ඉතින් IPsec රැඳෙන්නේ ට්‍රැෆික් තෝරන, හවුල්කරුවන් සත්‍යාපනය කරන සහ ආරක්ෂා කරන ලෙස කී දේ ගුප්තකේතනය කරන ස්ථරය ලෙසය. එය ආරක්ෂා කරන්නේ කුමන ට්‍රැෆික්ද යන්න වින්‍යාස තීරණයක් වන අතර එය අන්ත ලක්ෂ්‍ය සැබවින්ම ජනනය කරන ආවරණයට ගැළපිය යුතුය, මන්ද GRE බාහිර ලිපිනය සඳහා ලියූ ප්‍රතිපත්තිය අභ්‍යන්තර උපසර්ග සඳහා ලියූ එකට වඩා වෙනස් ලෙස හැසිරෙන බැවිනි. GRE පිරිවිතරය භාරය, GRE ශීර්ෂය සහ බාහිර බෙදාහැරීමේ ප්‍රොටෝකෝලය දෘශ්‍යමානව වෙන් කර තබයි, ඔබේ ප්‍රතිපත්තියටද එම වෙන්වීමම අවශ්‍ය වේ.
| Layer | Its one job | What it never does |
|---|---|---|
| PPP | Link negotiation, optional user authentication, address assignment | Protect traffic between gateways |
| L2TPv2 | Carry the PPP session between two endpoints | Encrypt or authenticate peers |
| GRE | Encapsulate network-layer packets between two addresses | Hide or authenticate the payload |
| IPsec | Authenticate peers and encrypt selected traffic | Carry a dial-in user session by itself |
වින්‍යාසයට පෙර පැකට් මාර්ගය ලියන්න
එක් පැකට්ටුවක් ගෙන එකතු වන සෑම ශීර්ෂයක්ම එකතු වන අනුපිළිවෙලට ලැයිස්තුගත කරන්න, එය එකතු කරන උපාංගය නම් කරන්න. ඩයල්-ඉන් පරිශීලකයාට මෙය සාමාන්‍යයෙන් IPsec තුළ L2TP තුළ PPP වේ; අඩවි ආවරණයකට මෙය IPsec තුළ GRE තුළ අභ්‍යන්තර IP පැකට්ටුව වේ. උපාංග දෙකක් එකම ශීර්ෂය එකතු කරන්නේ නම්, ඔබට ලූපයක් හෝ දෙගුණ වූ උමඟක් ඇත, කොපමණ ප්‍රතිපත්ති සංස්කරණයක් කළත් එය නිවැරදි නොවේ.
එම ලැයිස්තුවම MTU තීරණය කරයි, මන්ද භාවිත කළ හැකි අභ්‍යන්තර ප්‍රමාණය යනු මනින ලද මාර්ගයේ MTU අගයෙන් ඔබ දැන් ලැයිස්තුගත කළ ශීර්ෂ අඩු කිරීමයි, වෙන කිසිවක් නොවේ. සංසද පෝස්ටුවකින් සංඛ්‍යාවක් පිටපත් නොකරන්න: බාහිර IP, UDP සහ ESP අධිභාරය, පසුව GRE හෝ L2TP, පසුව අදාළ වන තැන PPP එකතු කර, ඔබ සැබවින්ම මැනූ මාර්ගයේ MTU අගයෙන් අඩු කරන්න. විශාල මාරු කිරීම්වලදී පමණක් දිස්වන ලක්ෂණ, නැතහොත් ස්ථාපිත වී පළමු විශාල ප්‍රතිචාරයේදී මිය යන සැසි, සාමාන්‍යයෙන් එම එකතු කිරීම අනුමානයෙන් කළ බවට ආපසු යොමු කරයි.
සෑම ස්ථරයක්ම වෙන වෙනම, පිටතින් ඇතුළට පරීක්ෂා කරන්න
පරීක්ෂණ පිළිවෙලට ධාවනය කර පළමු අසාර්ථක එකේ නවතින්න. සෑම පේළියක්ම වෙනස් ප්‍රශ්නයකට පිළිතුරු දෙයි, එබැවින් අසාර්ථකත්වය උමඟ කැඩුණු බව පැවසීම වෙනුවට කාර්ය පත්‍රිකාවේ එක් තීරුවක් පෙන්වා දෙයි.
ip xfrm state # is the IPsec SA up?
ip -s link show gre1 # does the overlay interface carry packets?
ip route get 10.20.0.5 # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500" # are the L2TP and NAT-T listeners bound?Cisco පෙට්ටියක සමාන දෙය භූමිකාව මත රඳා පවතී, නිශ්චිත වාක්‍ය ඛණ්ඩය වේදිකාව සහ නිකුතුව මත රඳා පවතී: IPsec හවුල්කරුවන් සඳහා show crypto session, GRE හෝ උමං අතුරුමුහුණත සඳහා අතුරුමුහුණත් ගණන් කරන්නන්, ඩයල්-ඉන් භූමිකාව සඳහා VPDN හෝ PPP සත්‍යාපනය. PPP අවසන් කරන විධාන කට්ටලයක් GRE සහාය ගැන කිසිවක් ඔප්පු නොකරයි, ක්‍රියාත්මක GRE අතුරුමුහුණතක් PPP සේවාව ගැන කිසිවක් ඔප්පු නොකරයි, එබැවින් රූප සටහනේ ඇති භූමිකාව නොව ඔබ සැබවින්ම වින්‍යාස කළ භූමිකාව තහවුරු කරන්න.
සෑම ප්‍රතිදානයක්ම අයත් වන කාර්ය පත්‍රිකා පේළිය අසල සටහන් කරන්න. දෝෂය සක්‍රීයව ඇති විට ගත් සටහන්, පසුව මතකයෙන් නැවත ඇඳි භූගෝලීය ව්‍යුහයට වඩා වටිනා ය.
කැඩීමේ අනුපිළිවෙල සකසා නැවත තහවුරු කරන්න
කැඩීම ප්‍රතිවිරුද්ධ අනුපිළිවෙලට යන්නේ හේතුවක් නිසා: ආරක්ෂිත ට්‍රැෆික් IPsec ප්‍රතිපත්තියෙන් ඉවත් කරන්න, එය සඳහා ලියූ ආවරණය ඉවත් කිරීමට පෙර, එසේ නොමැති නම් ප්‍රතිපත්තිය තවදුරටත් නොපවතින අතුරුමුහුණතකට යොමු වෙමින් පවතින අතර ඊළඟ වින්‍යාස පැටවීම සම්බන්ධයක් නැති බව පෙනෙන තැනක අසාර්ථක වේ. Linux හි මෙයින් අදහස් වන්නේ උමං අතුරුමුහුණතට පෙර තත්ත්ව සහ ප්‍රතිපත්ති ඇතුළත් කිරීම් මකා දැමීමයි; රවුටරයක, උමඟට පෙර ක්‍රිප්ටෝ සිතියම හෝ පැතිකඩ ඇතුළත් කිරීම ඉවත් කිරීමයි.
නැවත ගොඩනැගීමෙන් පසු, පිළිගැනීමේ නිරීක්ෂණ හතර එකින් එක නැවත කරන්න: බාහිර ළඟාවීම, ස්ථාපිත IPsec සම්බන්ධය, නිර්මාණයට එකක් ඇතුළත් වන තැන ස්ථාපිත PPP සැසිය, සහ සැබෑ ගමනාන්ත ලිපිනයකට අභ්‍යන්තර යැවීම. එක් හරිත ආලෝකයක් අනෙක් තුනට සාක්ෂියක් නොවේ, එම පරතරයම ඵලදායිතාවයේ දීර්ඝතම කාලයක් නොනැසී පවතින අසාර්ථකත්වයයි — උමඟ ඉහළින්, ගුප්තකේතිත, සහ කිසිවක් ඉදිරියට නොයවන, මන්ද අභ්‍යන්තර මාර්ගය කිසිදා එකතු නොකළ බැවිනි.
පුරවන ලද කාර්ය පත්‍රිකාව උපාංග වින්‍යාසය අසල තබන්න. ඔබට පිරවිය නොහැකි ඕනෑම තීරුවක් යනු කාර්යය පැවරී නැති ස්ථරයකි, කාර්යයක් නැති ස්ථරය සාමාන්‍යයෙන් තොගයේ නොතිබිය යුතු ස්ථරයකි.