මාර්ග පදනම් සහ ප්‍රතිපත්ති පදනම් අඩවි-අඩවි VPN: වෙනස කුමක්ද
ප්‍රතිපත්ති පදනම් IPsec තෝරකයකින් රථවාහනය තෝරයි; මාර්ග පදනම් එය උමං අතුරුමුහුණතක් හරහා යවයි. දෙකටම තවමත් ෆයර්වෝල් නීති සහ ආපසු මාර්ගයක් අවශ්‍යයි.
නිර්මාණ දෙකම එකම රථවාහනය එකම IPsec යන්ත්‍රණයෙන් ආරක්ෂා කරයි, සහ කුමන පැකට්ටුව උමං තුළට යන්නේද යන්න තීරණය කරන දෙයින් ඒවා වෙනස් වේ. ප්‍රතිපත්ති පදනම් සම්බන්ධතාවයේදී සාකච්ඡා කළ රථවාහන තෝරක එම කාර්යය කරයි; මාර්ග පදනම් සම්බන්ධතාවයේදී උමං අතුරුමුහුණතට යොමු වන මාර්ගයක් එය කරයි. දෙක මිශ්‍ර කිරීමෙන් උමං තමා ස්ථාපිත බව වාර්තා කරන නමුත් යෙදුම කිසිවකට නොපැමිණෙන හුරුපුරුදු ආධාරක සංවාදයක් ඇති වේ. මෙම වෙනස වැදගත් වන්නේ ඔබ ජාලයක් එකතු කරන විට, මාර්ගකරණ ප්‍රොටෝකෝලයක් ධාවනය කරන විට, හෝ වැරදි පිටවීමකින් නිහඬව පිටවන මාර්ගයක් දෝෂ නිරාකරණය කරන විටය.
උමං තුළට යන්නේ කුමක්ද යන්න තීරණය කරන ක්‍රම දෙකක්
ප්‍රතිපත්ති පදනම් VPN එකක් මූලාශ්‍ර සහ ගමනාන්ත උපසර්ගවලට ගැළපෙන ආරක්ෂක ප්‍රතිපත්තියක් ගොඩනඟා, පසුව ගැළපෙන සියල්ල සංකේතනය කරයි. සහකරු අනුකූල තෝරක සාකච්ඡා කළ යුතුය, එබැවින් ඵලදායී විෂය පථය අවසානයේ දෙපැත්තම යෝජනා කළ දෙයේ ඡේදනය බවට පත් වේ. එම ඡේදනයෙන් පිටත කිසිවක් ආරක්ෂා නොවේ, මාර්ගකරණ වගුව කුමක් කීවත්.
මාර්ග පදනම් VPN එකක් උමං නියෝජනය කරන අතුරුමුහුණතක් සාදා මාර්ගකරණ වගුවට එයට රථවාහන යැවීමට ඉඩ දෙයි. IKE ඩීමනය තවමත් තත්ත්වය සහ එක් එක් අතුරුමුහුණතෙහි ප්‍රතිපත්තිය ස්ථාපනය කරයි, සහ මාර්ග සංකේතනය ප්‍රතිස්ථාපනය කළ බව තීරණය කරන විට මිනිසුන් මඟ හරින විස්තරය එයයි. නිර්මාණ දෙකම IPsec සමඟ සංකේතනය කරයි; වෙනස් වන්නේ තේරීමේ යාන්ත්‍රණය පමණි.
පහත සංසන්දනය ලකුණු පුවරුවක් ලෙස නොව අසාර්ථකත්ව ලකුණු කට්ටලයක් ලෙස කියවන්න, මන්ද කිසිදු තීරුවක් තමාම ජය නොගනී.
| Aspect | Policy-based | Route-based |
|---|---|---|
| What selects traffic | Negotiated selectors | A route into the tunnel interface |
| Adding a network | Edit selectors on both peers | Add a route, widen the selector once |
| Dynamic routing | Awkward to run over the tunnel | Runs over the interface directly |
| Typical failure | Tunnel up, host outside the selector | Tunnel up, no route or wrong source |
ප්‍රතිපත්ති පදනම්: තෝරකය යනු ගිවිසුමයි
තෝරක සාකච්ඡා කෙරේ, හුදෙක් වින්‍යාසගත නොකෙරේ. එක් පැත්තක 10.10.0.0/16 සහ අනෙක් පැත්තේ 10.10.1.0/24 යෝජනා කරන්න, එවිට සංගමය සාකච්ඡාව නතර වූ දෙය ආවරණය කරයි, අනෙක් සෑම සත්කාරකයම පිටත රැඳේ.
වින්‍යාස ගොනුව වෙනුවට ස්ථාපිත තත්ත්වය කියවන්න. Linux සහකරු මත කර්නලයේම වගු පදනම් සත්‍යය වන අතර, සාකච්ඡාවෙන් ඉතිරි වූ දෙය ඒවා පෙන්වයි. නිවැරදි උපසර්ග නම් කරන නමුත් ගැළපෙන තත්ත්වයක් නොමැති ප්‍රතිපත්තියක් යනු සංගමය කිසිදා ඇති නොවූ බවයි. වැරදි උපසර්ගයක් සඳහා ප්‍රතිපත්තියක් සමඟ යුගල වූ තත්ත්වය ප්‍රතිවිරුද්ධ ගැටලුවයි, එය සෞඛ්‍ය සම්පන්න ලෙස පෙනෙන උමං නිර්මාණය කරයි, එහෙත් එක් උපජාලයක් කිසිවකට ළඟා නොවේ.
sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sasඔබ ආරක්ෂා කරන බව සිතන උපසර්ග සමඟ ප්‍රතිදාන දෙකම සසඳන්න. එම එකම සංසන්දනය ක්‍රියාකාරී උමං සහ ළඟා නොවන සේවාදායකය පිළිබඳ බොහෝ වාර්තා විසඳයි. කුමන සහකරු වෙනස් කළ යුතුද යන්නද එය පෙන්වයි, මන්ද නොගැළපීම සාමාන්‍යයෙන් දිස්වන්නේ එක් දිශාවකින් පමණි.
මාර්ග පදනම්: අතුරුමුහුණත යනු ගිවිසුමයි
XFRM අතුරුමුහුණතක් උමං සඳහා නමක් සහ අනන්‍යතාවයක් ලබා දෙන අතර, මාර්ගකරණ වගුව එසේ කියන නිසා රථවාහන එයට ළඟා වේ. එවිට දුරස්ථ උපසර්ග කිහිපයක් තෝරක ගැටලුවක් නොව මාර්ගකරණ ගැටලුවක් බවට පත් වන අතර, මාර්ගකරණ ප්‍රොටෝකෝලයකට ඒවා ප්‍රකාශ කළ හැක. එයයි සැබෑ වාසිය, සංකේතනය නොවේ.
අතුරුමුහුණත ප්‍රතිපත්තියේ අවශ්‍යතාවය ඉවත් නොකරයි. ඩීමනය අතුරුමුහුණතේ අනන්‍යතාවයට බැඳුණු නීති සෑම අතුරුමුහුණතකටම ස්ථාපනය කරයි, එබැවින් වැරදි අතුරුමුහුණතට පැමිණෙන පැකට්ටුව තවමත් අසාර්ථක වේ. සහකරු පිළිගැනීමට නොපැමිණෙන මූලාශ්‍ර ලිපිනයද පරිපූර්ණ මාර්ගයක් සමඟ වුවද අසාර්ථක වේ. මාර්ග පදනම් යනු පිවිසීම මාර්ගය තීරණය කරයි යන්නයි, ප්‍රතිපත්තිය අතුරුදහන් විය යන්න නොවේ.
sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10මාර්ගය ස්ථාපිත වූ පසු අතුරුමුහුණත කවුන්ටර නිරීක්ෂණය කරන්න. මාර්ගය පවතින නමුත් කවුන්ටර බිංදුවේ රැඳී ඇත්නම් උමං තුළට කිසිවක් ගැළපෙන්නේ නැත, එය සාමාන්‍යයෙන් නොමැති මාර්ගයකට වඩා නොමැති තත්ත්වයක් දෙසට යොමු කරයි.
මෙම නිර්මාණ දෙක සැබවින්ම වෙන්වන්නේ කොහේද
ජාලයක් එකතු කිරීම ඔබට ගැළපෙන ආකෘතිය පරීක්ෂා කිරීමට ඇති පිරිසිදුම මාර්ගයයි. මාර්ග පදනම් නිර්මාණයක් එක් මාර්ගයක් එකතු කර උපරිම වශයෙන් එක් වරක් තෝරකය පුළුල් කරයි, ප්‍රතිපත්ති පදනම් නිර්මාණයක් සහකරුවන් දෙදෙනාගේම උපසර්ග යුගල සංස්කරණය කර නැවත සාකච්ඡා කරයි. ස්ථාවර උපජාල දෙකක් එම සංස්කරණය සුළු කරයි, විස්සක් එය ව්‍යාපෘතියක් කරයි.
කිසිදු ආකෘතියක් ෆයර්වෝලයක් ප්‍රතිස්ථාපනය නොකරයි, සහ සංසන්දන සාමාන්‍යයෙන් මෙම ස්ථානයට පෙර නතර වේ. පුළුල් තෝරකයක් හෝ පුළුල් මාර්ගයක් තීරණය කරන්නේ කුමක් සංකේතනය වේද යන්නයි, කුමක් අවසර ලැබේද යන්න නොවේ.
MTU හැසිරීමද ප්‍රායෝගිකව වෙනස් වේ. ආවරණය භාවිත කළ හැකි බර අඩු කරයි, සහ මාර්ග පදනම් අතුරුමුහුණතක් තමන්ගේම MTU දරයි, එබැවින් දෙපසම දොරටුවල MSS සීරීම කුඩා පිළිතුරු පැමිණ විශාල ඒවා අතුරුදහන් වන කළු කුහර ලක්ෂණය වළක්වයි. ප්‍රතිපත්ති පදනම් උමං අනෙක් පැත්තෙන් එම බිත්තියම හමු වේ, මන්ද තෝරකය පැකට්ටුවේ ප්‍රමාණය ගැන කිසිවක් නොකියයි. සහකරුට දොස් නැගීම වෙනුවට සීරීම හිතාමතා සකසන්න.
ආපසු මාර්ගය නොමැකී සංක්‍රමණය
කිසිවක් වෙනස් කිරීමට පෙර පවතින උපසර්ග යුගල සටහන් කරන්න, පසුව එක් යෙදුම් මාර්ගයක් ගෙන එය මුල සිට අගට නිරීක්ෂණය කරන්න. ස්ථාපිත වන උමං යනු ඉදිරියට යවන උමං නොවේ, වෙනස පෙනෙන්නේ පිළිතුරු දිශාවෙනි.
සහකරුවන් සම්බන්ධ වන නමුත් LAN සත්කාරක සම්බන්ධ නොවන්නේ නම්, ආපසු මාර්ගය සහ දුරස්ථ සත්කාරකය භාවිත කරන මූලාශ්‍ර ලිපිනය පරීක්ෂා කරන්න. අතුරුමුහුණත් දෙකක් ඇති සත්කාරකයක් වැරදි එකකින් පිළිතුරු දිය හැක, කිසිදු තෝරක වෙනසක් එය අලුත්වැඩියා නොකරයි. ඇල්ගොරිතම සංස්කරණය කිරීමට පෙර දෙකෙළවරම රථවාහන ග්‍රහණය කරන්න.
ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-connsවැඩ කරන අතරතුර උමං මත රඳා නොපවතින කළමනාකරණ මාර්ගයක් තබා ගන්න. ඔබ දෝෂ නිරාකරණය කරන සම්බන්ධතාවය මත දොරටුවේම ප්‍රවේශය නොගමන් කරන්නේ නම් ආපසු හැරවීම පහසුය.