පිළිවෙලින් VPN හොප් දෙකක්: ඔබේ රථවාහන ඇත්තටම දකින්නේ කවුද?
සීරියල් හොප් පළමු ගේට්වේ තුළ විසංකේතනය කර නැවත සංකේතනය කරයි; නෙස්ටඩ් හොප් බාහිර ස්ථරය පමණක් ඉවත් කරයි. දෙකම බලන්න සහ කුමන ක්‍රියාකරු කුමක් කියවන්නේදැයි බලන්න.
සෑම සේවාලාභී පැතිකඩක්ම එක් සේවාදායකයක් නම් කරයි, එබැවින් පරිශීලකයාගේ ස්ථානයේ සිට එක් උමඟක් සහ ආරක්ෂාව අවසන් වන එක් ස්ථානයක් ඇත. එම පළමු ගේට්වේට පසුව සිදුවන දේ සේවාලාභියා කිසිදා නොදකින නිර්මාණ තීරණයක් වන අතර, සාමාන්‍ය නිර්මාණ දෙක පරීක්ෂාව යටතේ බොහෝ වෙනස් ලෙස හැසිරේ. සීරියල් දාමයක පළමු ගේට්වේ විසංකේතනය කර නැවත සංකේතනය කරයි. නෙස්ටඩ් දාමයක එය බාහිර ස්ථරයක් ඉවත් කර විවෘත කළ නොහැකි අභ්‍යන්තර උමඟක් ඉදිරියට යවයි. හොප් ගණන දෙකෙහිම සමානය, එබැවින් වෙනස ගණන් කරන්නේ නැතිව අඳින්නට සිදුවේ.
සේවාලාභියාගෙන් පටන් ගෙන දෙකොනටම නම් දෙන්න
පරිශීලකයා පටන් ගන්නා තැනින්, එනම් සම්බන්ධතා පැතිකඩෙන් පටන් ගන්න. එහි එක් දුරස්ථ ලිපිනයක්, එක් සත්‍යාපන ක්‍රමයක් සහ නිර්මාණය එයට සහාය දක්වන්නේ නම් මාර්ග ලැයිස්තුවක් ඇත. සේවාලාභියාගෙන් A ගේට්වේ දක්වා එම බාහිර උමඟ නම් කර උදාහරණ ලිපින දෙන්න: සේවාලාභියාගේ උමඟ ලිපිනය 10.77.0.2, A හි 10.77.0.1, සහ A හි පොදු අවසන් ලක්ෂ්‍යය 198.51.100.10, TEST-NET-2 ලේඛන පරාසයෙන් ගත්, උදාහරණයේ කිසිවක් සැබෑ සත්කාරකයක් සමඟ ගැටීම වළක්වා ගැනීමට.
එම පැතිකඩෙහි B ගේට්වේ ගැන කිසිවක් සඳහන් නොවේ, එය දෝෂයක් නොවේ. දෙවන හොප් A ට අයත් වන අතර, සේවාලාභියාගේ එකම යුතුකම වන්නේ රථවාහන A වෙත ගෙන ගොස් නැවත එන දේ පිළිගැනීමයි. A උමඟ අවසන් කරයිද, ඉදිරියට යවයිද නැතහොත් අලුත් එකක් විවෘත කරයිද යන්න මෙම චාරිකාවේ ඉතිරි කොටස පිළිතුරු දෙන ප්‍රශ්නය වන අතර, එය A හට කියවිය හැකි දේ තීරණය කරයි.
සීරියල්: A විසංකේතනය කර පසුව නැවත සංකේතනය කරයි
සීරියල් නිර්මාණයේ A රථවාහන දෙවරක් අවසන් කරයි. එය සේවාලාභියාගෙන් ආරක්ෂාව ඉවත් කර, යෙදුමේ IP පැකට්ටුව ලබාගෙන, පසුව එම පැකට්ටුව A විසින් B දෙසට සාදන දෙවන උමඟක් හරහා යවයි. එම ක්‍රියා දෙක අතර පැකට්ටුව A හි ඉදිරියට යැවීමේ මාර්ගයේ පෞද්ගලික ගමනාන්තයකට ලිපිනය කළ සාමාන්‍ය IP පැකට්ටුවක් ලෙස වාඩි වේ.
එයින් පැහැදිලිව කිව යුතු ප්‍රතිවිපාක දෙකක් එයි. A හට අභ්‍යන්තර පැකට්ටුවට ප්‍රතිපත්තියක් යෙදිය හැක, මාර්ග, පෙරහන් නීති සහ මූලාශ්‍රය හා ගමනාන්තය සටහන් කිරීමේ ආකාරයෙන්, සහ A හට අක්තපත්‍ර කට්ටල දෙකක් තබා ගත යුතුය: එකක් සේවාලාභියාට සේවාදායකයක් ලෙස සහ එකක් B හි සේවාලාභියෙකු ලෙස. සෑම මොහොතකම ආරක්ෂාව පවතී, නමුත් ආරක්ෂිත වස්තුව A හිදී අනන්‍යතාවය වෙනස් කරයි.
එයින් A යෙදුමේ පැහැදිලි පෙළ කියවන බව අදහස් නොවේ. සේවාලාභියා සහ සේවාව TLS ධාවනය කර එකිනෙකාගේ සහතික සත්‍යාපනය කරන විට, A කියවිය හැකි ඉල්ලීමක් වෙනුවට TLS වාර්තා ධාරාවක් දකී. එම ආරක්ෂාව කොහේද අවසන් වන්නේද යන්න තහවුරු කිරීමට උමඟේ රූප සටහන නොව, සේවාවේ සහතික දාමය දෙස බැලිය යුතුය.
නෙස්ටඩ්: A බාහිර ස්ථරය පමණක් ඉවත් කරයි
නෙස්ටඩ් නිර්මාණයේ සේවාලාභියා මුලින්ම B වෙත අභ්‍යන්තර උමඟක් ගොඩනඟා පසුව එම උමඟ බාහිර උමඟ තුළ A දක්වා රැගෙන යයි. A බාහිර ශීර්ෂය ඉවත් කර, අභ්‍යන්තර උමඟක් සොයාගෙන එහි යතුරු රඳවා නොගෙන ඉදිරියට යවයි, එබැවින් අභ්‍යන්තර ආරක්ෂාව තවමත් B හි අවසන් වේ.
එවිට සේවාලාභියාගේ ඉහළ සබැඳිය ස්ථර දෙකක් දරන අතර, A සහ B අතර මාර්ගය එකක් දරයි. A අභ්‍යන්තර උමඟේ බාහිර ලිපින දකී, එය රථවාහන පවතින බවත් ආසන්න වශයෙන් කොහේ යනවාද යන්න දැනගැනීමට ප්‍රමාණවත් වන අතර, ගෙවුම කියවීමට ප්‍රමාණවත් නොවේ. සීරියල් අවස්ථාවෙන් මුළු වෙනස එයයි, කිසිදු හොප් ගණකයක් එය නොපෙන්වයි. A තවමත් කළ හැකි දේ වන්නේ කියවිය නොහැකි දේ ඉදිරියට යැවීම ප්‍රතික්ෂේප කිරීමයි, එය එම ගේට්වේ ක්‍රියාකරුට සැමවිටම ලබා ගත හැක.
නෙස්ටින් එම ගුණාංගය සඳහා මිලක් ගෙවයි. සෑම ස්ථරයක්ම ශීර්ෂ අධිභාරය එකතු කරයි, එබැවින් MTU සහ MSS සැලසුම් කිරීම පිළිවෙලට වඩා අනිවාර්ය වේ, සහ එක් ස්ථරයකින් ක්‍රියා කරන මාර්ගයක් දෙකකින් විශාල පැකට්ටු නිශ්ශබ්දව අත්හැරිය හැක. සෑම ස්ථරයකටම තමන්ගේම නැවත සම්බන්ධ වීමේ සහ ජීවතුන් අතර තබා ගැනීමේ හැසිරීම අවශ්‍ය වන අතර, එක් ස්ථරයක අසාර්ථකත්වය අනෙක හරහා අර්ධ බාධාවක් ලෙස පෙනේ.
උමං පමණක් නොව, නිරීක්ෂකයන් අඳින්න
උමං යනු චිත්‍රයේ පහසු කොටසයි. නිරීක්ෂකයන් යනු නිර්මාණයේ විෂයයයි, එබැවින් සෑම දෘශ්‍යකෝණයකටම එක් පේළියක් ලියා එක් එක් අයට ඇත්තටම කියවිය හැකි දේ පුරවන්න.
| Vantage point | Serial chain | Nested chain |
|---|---|---|
| Client's access network | Outer tunnel only | Outer tunnel only |
| Operator of A | Inner IP packet between A and B | Outer addresses of the inner tunnel, not its payload |
| Path between A and B | Second tunnel | Second tunnel |
| Operator of B | Inner packet re-originated by A | Payload after the inner layer is removed |
| Service edge | Traffic from the exit address | Traffic from the exit address |
පේළි දෙකක් නිතරම මිශ්‍ර වේ: A හි ක්‍රියාකරු සහ සේවාලාභියාගේ උමඟේ සැපයුම්කරු. ඔවුන් එකම ආයතනයක් විය හැකි අතර, වෙන වෙනම ගේට්වේ නම් ඔවුන් ස්වාධීන නොකරයි. ස්වාධීන හිමිකමට වෙනම පරිපාලන පාලනයක්, වෙනම අක්තපත්‍ර සහ වෙනම සටහන් කිරීමක් අවශ්‍ය වේ.
මෙටාදත්ත නිර්මාණ දෙකෙහිම නොනැසී පවතී. වේලාව, පැකට්ටු ප්‍රමාණ සහ සම්බන්ධතා ගණන සෑම හොප් එකකදීම නිරීක්ෂණය කළ හැකිව පවතී, එබැවින් හොප් දෙකක් සංඥාව ඉවත් කරනවාට වඩා සහසම්බන්ධතාවයේ පිරිවැය වැඩි කරයි. අදෘශ්‍යමානත්වය පොරොන්දු වන නිර්මාණයක් කිසිවෙකු එය මත රඳා පැවතීමට පෙර එම ලැයිස්තුව සමඟ පරීක්ෂා කළ යුතුය.
තෝරා ගැනීමට පෙර අසාර්ථකත්ව මාර්ග ගෙවන්න
පරිශීලකයාට මුණගැසෙන අනුපිළිවෙලින් සේවාලාභියාගෙන් හිතාමතා දේවල් කඩන්න. අතුරුමුහුණත සහ එහි MTU සමඟ පටන් ගන්න, මන්ද නෙස්ටින් සත්‍යාපනයේදී අසාර්ථක වීමට බොහෝ කලකට පෙර පැකට්ටු ප්‍රමාණයේදී අසාර්ථක වේ.
ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1පසුව ආරක්ෂණ අවසන් ලක්ෂ්‍ය උපකල්පනය නොකර තහවුරු කරන්න. ඕනෑම විවෘත උමඟක් තුළින් සේවාවෙන් එහි සහතිකය ඉල්ලන්න, සහ සේවාලාභියා දකින දාමය සේවාව ඇත්තටම ඉදිරිපත් කරන දාමය සමඟ සසඳන්න. නැවත අත්සන් කරන හෝ බාධා කරන ගේට්වේක් එම සහතිකය වෙනස් කරයි, සහ පරීක්ෂාව එක් විධානයකින් දෘශ්‍යමාන වේ.
openssl s_client -connect intranet.example.com:443 -brief < /dev/nullනැවත සම්බන්ධ වීමේ න්‍යාසය සමඟ අවසන් කරන්න: සේවාලාභියාගේ උමඟ වැටේ, B හි උමඟ වැටේ, A සහ B අතර මාර්ගය වෙනස් වේ. නැවත එන දේ සහ නොඑන දේ, සහ අභ්‍යන්තර සම්බන්ධතාවයක් කිසිදා එහි අපේක්ෂිත වාහකයෙන් පිටත මාර්ගයකට වැටේද යන්න සටහන් කරන්න. සෑම පරීක්ෂණයක්ම භාවිත කළ ලිපින සටහන් කරන්න, මන්ද වෙනත් ප්‍රවේශ ජාලයක එය නැවත කිරීම වෙනත් ප්‍රශ්නයකට පිළිතුරු දෙයි. සෑම නැවත සම්බන්ධ වීමකට පසුව MTU පරීක්ෂාවද නැවත කරන්න, මන්ද වෙනස් වූ මාර්ගයක් එක් වින්‍යාස පේළියක්වත් නොසෙල්වී භාවිත කළ හැකි ප්‍රමාණය අඩු කළ හැක.
A හට අභ්‍යන්තර පැකට්ටුවට ප්‍රතිපත්තියක් යෙදිය යුතු විට, නැතහොත් සේවාලාභියාට ස්ථර දෙකක උමං ධාවනය කළ නොහැකි විට සීරියල් තෝරන්න. අභ්‍යන්තර ගෙවුම A හිදී නොකියවන ලෙස තිබිය යුතු විට නෙස්ටින් තෝරන්න. තේරීම එහි නිරීක්ෂකයන් සහ MTU සංඛ්‍යා සමඟ ලියන්න, එවිට ඊළඟ පුද්ගලයාට එක් ප්‍රශ්නයකට පිළිතුරු දීමට මුළු චිත්‍රයම නැවත අඳින්නට සිදු නොවේ.