සයිට්-ටු-සයිට් සහ දුරස්ථ පිවිසුම් VPN: දෙක කුමක් සම්බන්ධ කරයිද
එකක් ගේට්වේ සම්බන්ධ කරයි, අනෙක උපාංග සම්බන්ධ කරයි. ට්‍රැෆික් තේරීම්කරුවන් මාර්ග සමඟ සසඳන්න, ලිපිනකරණය සැලසුම් කරන්න, පසුව සැබෑ සත්කාරකයකින් යැවීම සහ ප්‍රතිපත්තිය පරීක්ෂා කරන්න.
දෙකම VPN ලෙස හඳුන්වන අතර ඒවා වෙනස් ගැටලු විසඳයි. සයිට්-ටු-සයිට් උමං ගේට්වේ දෙකක් සම්බන්ධ කරයි, එබැවින් ඒවා පිටුපස සිටින සෑම සත්කාරකයක්ම කිසිවක් ස්ථාපනය නොකර අනෙක් පැත්තේ අවසර ලත් ලිපින වෙත ළඟා විය හැක. දුරස්ථ පිවිසුම් උමං තනි උපාංග ජාලයකට සම්බන්ධ කරයි, එක් වරකට එක් සේවාලාභියෙක්. මෙම සංසන්දනය වැදගත් වන්නේ බොහෝ යෙදවුම් දෝෂ එකක් වින්‍යාස කර අනෙකෙහි හැසිරීම අපේක්ෂා කිරීමෙන් සිදු වන බැවිනි, සහ රෝග ලක්ෂණය සාමාන්‍යයෙන් උමං සැබවින්ම ළඟා වූ සේවාවක කාල ඉකුත්වීමකි.
ආකෘති දෙකක්, මායිම් දෙකක්
| Site-to-site | Remote access | |
|---|---|---|
| Endpoints | two gateways | a gateway and each client |
| Who configures | network owners | each user or an MDM |
| Scope of reach | whatever the gateways route | whatever the client is granted |
| Broadcast discovery | not carried | not carried |
කිසිදු ආකෘතියක් LAN විකාශන වසම දිගු නොකරයි. දුර පැත්තේ උපාංග දේශීය සොයාගැනීම් ලැයිස්තුවක නොපෙනේ, සහ එසේ අපේක්ෂා කිරීම අත්හැරිය යුතු පළමු උපකල්පනයයි. ඔබ හිතාමතා ප්‍රකාශ කරන පුද්ගලික DNS නාම ඕනෑම සොයාගැනීම් ප්‍රොටෝකෝලයකට වඩා අනුමාන කළ හැකි අතර සැපයුම්කරු මාරු වුවත් රැඳේ.
එක් සයිටයක 10.10.0.0/24 සහ අනෙකෙහි 10.20.0.0/24 ගන්න. ගේට්වේ A ට 10.20.0.0/24 උපසර්ගය උමං තුළට යවන මාර්ගයක් හෝ ට්‍රැෆික් තේරීම්කරුවක් අවශ්‍ය වේ, ගේට්වේ B ට එහි දර්පණ ප්‍රතිබිම්බය අවශ්‍ය වේ. ඉන්පසු දෙපසම සත්කාරක සාමාන්‍ය IP සම්බන්ධතාව භාවිත කරන අතර උමං පවතින බව කිසිදා නොදනී. එම අදෘශ්‍යමාන බවම විශේෂාංගය වන අතර, අසාර්ථකතා උමං දෝෂ ලෙස නොව සාමාන්‍ය ජාල දෝෂ ලෙස පෙනීමට හේතුවද එයයි.
ප්‍රතිපත්ති මත පදනම් වූ සහ මාර්ගය මත පදනම් වූ එකම උමං නොවේ
ප්‍රතිපත්ති මත පදනම් වූ IPsec යෙදවුමක, සාකච්ඡා කළ ට්‍රැෆික් තේරීම්කරුවන් මූලාශ්‍ර සහ ගමනාන්ත යුගල කුමක් ආරක්ෂිතද යන්න නිශ්චිතව අර්ථ දක්වයි. එක් ගේට්වේක පිටුපස නව උපජාලයක් දිස්වී කිසිදු තේරීම්කරුවක් එය ආවරණය නොකරන්නේ නම්, උමං ක්‍රියාත්මකව පවතින අතර නව උපජාලය සරලව රැගෙන නොයයි. මාර්ගය මත පදනම් වූ ආකෘතියක අතුරුමුහුණතක් ට්‍රැෆික් ලබාගන්නා අතර මාර්ගගත කිරීමේ වගුව තීරණය කරයි, එය උපසර්ගයක් එකතු කිරීම උමං නැවත සාකච්ඡාවක් නොව මාර්ග වෙනසක් බවට පත් කරයි.
StrongSwan දර්ශන දෙකම සෘජුව පෙන්වන අතර, ඒවා එකට කියවීම ඔබ ඇත්ත වශයෙන්ම යෙදූ ආකෘතිය කුමක්දැයි දැනගැනීමේ මාර්ගයයි.
swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'ඔබට අවශ්‍ය උපසර්ගය අතහැර දැමූ තේරීම්කරු ලැයිස්තුවක් කිසිදු පැකට් ග්‍රහණයකින් තොරව අසාර්ථකත්වය පැහැදිලි කරයි, වැරදි අතුරුමුහුණතට යොමු වන මාර්ගයක් ආපසු මගේ දර්පණ අසාර්ථකත්වය පැහැදිලි කරයි. යමක් නැවත සාකච්ඡා කිරීමට පෙර දෙකම කියවන්න, මන්ද යතුරු අලුත් කිරීම ඔබ කිසිදා වින්‍යාස නොකළ තේරීම්කරුවක් එකතු නොකරන බැවිනි.
උමං පෙර ලිපිනකරණය සැලසුම් කරන්න
අතිච්ඡාදනය වන පරාස වින්‍යාසයෙන් නිවැරදි කළ නොහැකි ආකෘති දෝෂයයි. දෙකම සයිට 192.168.1.0/24 භාවිත කරන්නේ නම්, 192.168.1.50 අවශ්‍ය සත්කාරකයට අපේක්ෂකයන් දෙදෙනෙක් සිටින අතර තෝරාගැනීමට කිසිදු මාර්ගයක් නැත. උමං සත්‍යාපනය වන අතර, ආරක්ෂක සහසම්බන්ධතා ස්ථාපිත වන අතර, මාර්ගගත කිරීමේ තීරණය කෙසේ වුවද වැරදි හෝ අපැහැදිලි වනු ඇත.
අවංක විකල්ප තුනකින් එකක් තෝරන්න: එක් සයිටයක් නැවත අංකනය කරන්න, ගේට්වේහි අතිච්ඡාදනය වන පරාසය පරිවර්තනය කරන්න එවිට සෑම පැත්තක්ම වෙනස් උපසර්ගයක් දකී, නැතහොත් එම සත්කාරක සඳහා සෘජු මාර්ගගත කිරීම අත්හැර සේවාව වෙනත් ආකාරයකින් ප්‍රකාශ කරන්න. එක් එකකට පිරිවැයක් ඇති අතර, වසර දෙකක ක්ෂිතිජයේදී පළමුවැන්න සාමාන්‍යයෙන් ලාභම වේ. උමං පවතින පෙර තීරණය කරන්න, මන්ද පසුව එම වෙනස පැරණි ලිපිනය ඇති සෑම උපාංගයක්ම ස්පර්ශ කරන බැවිනි.
MTU ගැටලුවද ඉක්මනින් විසඳන්න. උමං ඵලදායී භාරය අඩු කරන අතර, ඛණ්ඩනය මත රඳා පවතින ආකෘතියක් ගේට්වේවල MSS ස්ථාවර කරන ආකෘතියකට වඩා වෙනස් ලෙස හැසිරේ.
යැවීම සහ ප්‍රතිපත්තිය උමං පිටත පවතී
ගේට්වේ උමං අතුරුමුහුණත සහ LAN අතුරුමුහුණත අතර පැකට් යැවීමට සූදානම් විය යුතු අතර, දිශා දෙකටම සේවාවට අවසර දෙන ප්‍රතිපත්තියක් අවශ්‍ය වේ. Linux හි මේවා වෙනම සැකසුම් දෙකක් වන අතර, යැවූ ප්‍රවාහය කිසිසේත් අවසර ලත්ද යන්න තීරණය කරන firewall නීති ද ඇත.
sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPTලබාගන්නා සත්කාරකය තුන්වන ස්තරය එකතු කරයි: එහිම firewall තවමත් දුර උපජාලයේ සේවාලාභියෙකු පිළිගත යුතුය. තම දේශීය /24 පමණක් අවසර දෙන ගොනු සේවාදායකයක් උමං කෙතරම් නිරෝගීව පෙනුනත් 10.20.0.7 වෙතින් යැවූ ට්‍රැෆික් ප්‍රතික්ෂේප කරන අතර, එම ප්‍රතික්ෂේපය මාර්ග දෝෂයක් ලෙස කියවීම පහසුය.
ගේට්වේවලින් නොව සත්කාරකයෙන් පරීක්ෂා කරන්න
ගේට්වේම යවන ping යැවූ පරිශීලක ට්‍රැෆික්ට වඩා වෙනස් මූලාශ්‍ර ලිපිනයක් සහ වෙනස් ප්‍රතිපත්තියක් අනුගමනය කළ හැක. එය එය දුර්වල පරීක්ෂණයක් කරන අතර සමහර විට නොමඟ යවන්නක්ද වේ: යෙදුම අසාර්ථක වන විට එය සාර්ථක වේ, නැතහොත් යෙදුම ක්‍රියාත්මක වන විට එය අසාර්ථක වේ.
ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/nullසැබෑ සත්කාරකයක්, සැබෑ මූලාශ්‍ර ලිපිනයක් සහ යෙදුම භාවිත කරන සැබෑ ප්‍රොටෝකෝලය භාවිත කරන්න. ඉන්පසු ආපසු මාර්ගය වෙනම කියවන්න, මන්ද ආපසු මාර්ගයක් නොමැතිව ක්‍රියාත්මක වන ඉදිරි දිශාවක් අවහිර කළ සේවාවකට සමානව පෙනෙන කාල ඉකුත්වීමක් ඇති කරන බැවිනි.
ඔබ පිළිතුරු දෙන ප්‍රශ්නය අනුව ආකෘතිය තෝරන්න: ඔබ ජාල සම්බන්ධ කරනවාද නැතහොත් උපාංග පිළිගන්නවාද? ඉතිරි සියල්ල, කුමන සැපයුම්කරු වින්‍යාස කරන්නේද යන්නද ඇතුළුව, එම පිළිතුරෙන් පැමිණේ.