ඔබේ අඩවියේ VPN කොහේද අවසන් වන්නේ යන්න තීරණය කරන්නේ කුමක් පරීක්ෂා කරන්නේද යන්නයි
අඩවි අතර රහස් ගමන් ගැලීම් විග්‍රහ කරන උපාංගය ගිනි පවුරට තවම කුමක් පරීක්ෂා කළ හැකිද යන්න තීරණය කරයි. පළමුව සීමාව අඳින්න, පසුව රවුටරයක් හෝ ගිනි පවුරක් තෝරන්න.
අඩවි අතර උමඟක් මුළු පරීක්ෂණ සැලසුමම තීරණය කරන එක් විස්තරයක් සඟවයි: ඇතුළත පැකට්ටුව පැහැදිලි පෙළක් ලෙස දිස්වන නිශ්චිත උපාංගය. එම ලක්ෂ්‍යයට පෙර සියල්ල ESP දකියි, ඊට පසු සියල්ල නියමයකට ග්‍රහණය කළ හැකි සාමාන්‍ය IP දකියි. සීමාව වැරදි තැනක තැබුවොත් ඔබ ගෙවූ ගිනි පවුර බලපත්‍රයක් ඇති රවුටරයක් බවට පත්වේ. පහත මාර්ගෝපදේශය පළමුව රේඛාව අඳින අතර පසුව පමණක් කුමන උපාංගය එය හිමිකර ගත යුතුද යන්න අසයි.
පැකට්ටුව තවදුරටත් රහස්ගත නොවන තැන රේඛාව අඳින්න
උමං මාදිලියේදී මුල් පැකට්ටුව රහස්ගත කර සහකාර ද්වාරයට ලිපිනගත නව බාහිර IP ශීර්ෂයක ඔතනු ලැබේ. එම බාහිර පැකට්ටුව ESP සඳහා 50 ප්‍රොටෝකෝලය රැගෙන යයි, එබැවින් ද්වාර දෙක අතර ඕනෑම උපාංගයකට ඇතුළත ලිපින කියවීමකින් තොරව එය රවුට් කළ හැක. රහස් හරණය කරන පළමු උපාංගයම ආරක්ෂක සීමාව වන අතර ඇතුළත ගැලීමට ප්‍රතිපත්තිය යෙදිය හැකි පළමු උපාංගයද එයමය. එම ලක්ෂ්‍යයට පහළින් සියල්ල සාමාන්‍ය රවුටින්ග් ය.
රූපයේ කරුණු තුනක් සලකුණු කරන්න: ESP පිළිගන්නා බාහිර අන්ත ලක්ෂ්‍යය, ප්‍රතිපත්තියේ නම් කර ඇති ආරක්ෂිත ජාල, සහ රහස් හරණය කළ පැකට්ටුව ගන්නා ඊළඟ පිම්ම. මේ තුන එකම උපාංගයක නොමැති නම් ඔබට නිර්මාණය කළ යුතු භාරදීමක් ඇත, එකම පාලන ලක්ෂ්‍යයක් නොවේ.
RFC 4301 රහස් හරණය කරන උපාංගය ආරක්ෂක ද්වාරය ලෙස හඳුන්වන අතර එහි ප්‍රතිපත්තිය සීමාවේ කොටසක් ලෙස සලකයි. මෙය නිෂ්පාදන කාණ්ඩයට වඩා ප්‍රයෝජනවත් රාමුවකි, මන්ද උපාංගයක් සීමාවක් වන්නේ එය ප්‍රතිපත්තිය දරන විටය, එහි දත්ත පත්‍රිකාව ගිනි පවුර යැයි පවසන විට නොවේ.
ගිනි පවුර අවසානය ලෙස: එක් උපාංගයක්, එක් ප්‍රතිපත්ති ලක්ෂ්‍යයක්
ගිනි පවුර උමඟ අවසන් කරන විට, ඉහළ රවුටරයට එයට ESP පමණක් ලබා දිය යුතුය. ගිනි පවුර සහකරු සත්‍යාපනය කර, රහස් හරණය කර, පසුව සර්වර් VLAN දෙසට යන ඇතුළත පැකට්ටුවට තම සාමාන්‍ය නීති යොදයි. මෙයින් ප්‍රතිපත්තිය කියවීමට එක් තැනක් සහ ලොග කියවීමට එක් තැනක් ලැබේ, විගණනය සාමාන්‍යයෙන් ඉල්ලා සිටින්නේ එයයි.
අනුමති දෙක වෙන් වෙන්ව පරීක්ෂා කරන්න. උපාංගය දෙසට IKE සහ ESP අනුමත කිරීම දුරස්ථ අඩවියකට සර්වරයක් වෙත ළඟා වීමට අනුමත කිරීම හා සමාන එකම නියමය නොවේ, සහ උමඟ පිළිගනිමින් ඇතුළත ගැලීම අවහිර කරන ගිනි පවුර අනෙක් කෙළවරින් හරියටම කැඩුණු උමඟක් මෙන් පෙනේ.
මිල වන්නේ ගිනි පවුර දැන් අඩවියේ සමස්ත රහස් ගමන් ගැලීම්වල මාර්ගයේ පිහිටීමයි, එබැවින් එහි ප්‍රවාහය, සැසි සීමා සහ අසාර්ථකත්වයේදී මාරුවන හැසිරීම උමඟේම හැසිරීම බවට පත්වේ. එය ඒකාබද්ධ අඩවි ගැලීම් සඳහා මනින්න, සමහරවිට මිලදී ගත් දුරස්ථ ප්‍රවේශ පැතිකඩ සඳහා නොවේ.
රවුටරය අවසානය ලෙස: පරීක්ෂණ පිම්ම අත්‍යවශ්‍ය නොවේ
රවුටරය රහස් හරණය කරන විට, පැකට්ටුව රවුටින්ග් වගුවට ළඟා වන විටම පැහැදිලිය. වෙනම ගිනි පවුරක් එම රහස් ගමන් ගැලීම පරීක්ෂා කළ යුතු නම්, රවුටරය එය ගිනි පවුර හරහා යැවිය යුතු අතර ආපසු මාර්ගයද එලෙසම ආපසු එිය යුතුය. රවුටරයේ සිට සර්වර් VLAN දක්වා සෘජු මාර්ගයක් ගිනි පවුර නිහඬව මාර්ගයෙන් ඉවත් කර රූපයේ තබයි.
මෙයයි දැනට පවතින ජාලයක සොයා ගත යුතු දෝෂය: එකම පෙරනිමිය වෙත මාර්ග දෙකක්, එකක් ගිනි පවුර හරහා සහ අනෙක සෘජුව, සෘජු එක පෙරනිමි දිග හෝ මෙට්‍රිකය මත ජය ගනී. උමඟ තවමත් රහස් ගමන් ගැලීම ගමන් කරවයි, ඔබ විශ්වාස කරන පරීක්ෂණය සිදු නොවේ.
මාර්ග පාදක උමං මෙය දෘශ්‍ය කරයි, මන්ද උමඟ යනු තවත් උපාංගයක් හරහා රවුට් කළ හැකි අතුරුමුඛයකි. ප්‍රතිපත්ති පාදක උමං රහස් ගමන් ගැලීම තේරුම්කරු මගින් තෝරයි, එය රහස් හරණය කළ පැකට්ටුව රවුටරයේ වෙනත් ගම්‍යයක් නොමැතිව තැබිය හැක.
අපේක්ෂකයන් දෙදෙනාගෙන්ම එකම ප්‍රශ්න පහ අසන්න
කෙටි කාර්ය පත්‍රිකාවක් විශේෂාංග න්‍යාසයක් පරාජය කරයි, මන්ද සෑම ප්‍රශ්නයක්ම රූපයේ එක් රේඛාවකට ගැලපේ. සෑම අපේක්ෂකයෙකුගෙන්ම අසන්න:
- කුමන IKE අනුවාද, කුමන සහකාර සත්‍යාපන ක්‍රම සහ කුමන රවුටින්ග් ආකෘති මෙම නිකුතුව ඇත්තටම අනුග්‍රහය දක්වන්නේද?
- ESP කොහේද පිළිගන්නේ සහ රහස් හරණය කළ ගැලීම කොහේද අනුමත හෝ ප්‍රතික්ෂේප වන්නේ?
- දේශීය සත්කාරක දුරස්ථ පෙරනිමි ඉගෙන ගන්නේ කෙසේද සහ අනෙක් පැත්ත ඔබේ ඒවා ඉගෙන ගන්නේ කෙසේද?
- සැබෑ භාරය සඳහා අන්ත ලක්ෂ්‍යය කොපමණ ප්‍රවාහයක්, කොපමණ සැසි සහ අසාර්ථකත්වයේදී මාරුවන කුමන හැසිරීමක් ඉවසිය යුතුද?
- උමඟම කැඩුණු දෙය වන විට සහකරුගේ සත්‍යාපන දත්ත, ප්‍රතිපත්තිය සහ ප්‍රතිසාධන මාර්ගයේ හිමිකරු කවුද?
pfSense ප්‍රතිපත්ති පාදක සහ මාර්ග පාදක IPsec වෙනම සීමා සහිත වෙනම ආකෘති ලෙස ලේඛනගත කරයි, මෙම වෙනස පෙට්ටියේ ලේබලයට වඩා වැදගත් වේ. ඔබ ඇත්තටම යෙදවීමට යන නිකුතුවේ නිශ්චිත මාදිලිය සහ රහස් හරණය කළ රහස් ගමන් ගැලීමේ අනුග්‍රහය ලබන පෙරහන පරීක්ෂා කරන්න.
කිසිදු අපේක්ෂකයෙකුට දෙවන ප්‍රශ්නයට ඔබට කියවිය හැකි නියමයකින් පිළිතුරු දිය නොහැකි නම්, ඉතිරි සියල්ල කොතරම් හොඳින් කළත් එය ඔබට අවශ්‍ය සීමාව නොවේ. ඔව් යැයි කීම වෙනුවට නියමයේ පෙළ ඉල්ලන්න, සහ අපැහැදිලි පිළිතුර නැත ලෙස සලකන්න.
මාර්ගය ග්‍රහණයකින් සත්‍යාපනය කරන්න, රූපයකින් නොවේ
රූපය අභිප්‍රාය විස්තර කරයි, ග්‍රහණය හැසිරීම විස්තර කරයි, එබැවින් ඕනෑම එකක් විශ්වාස කිරීමට පෙර කුමන අතුරුමුඛය ESP සහ කුමන එක ඇතුළත ගැලීම රැගෙන යයිද යන්න තහවුරු කරන්න.
tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy listපළමු ග්‍රහණය ESP පැමිණෙන බවත් දෙවැන්න ඇතුළත පැකට්ටුව LAN පැත්තේ බවත් පෙන්වයි නම්, රහස් හරණ ලක්ෂ්‍යය ඔබ සිතන තැනම ඇත. ඇතුළත පැකට්ටුව ගිනි පවුර මඟ හරින කොටසක දිස්වේ නම්, ප්‍රතිපත්ති පෙළ කුමක් කීවත් රවුටින්ග් වැරදිය. xfrm ලැයිස්තුව පසුව කුමන තේරුම්කරු ස්ථාපිත කර ඇත්ද සහ කුමන දිශාවටද පෙන්වයි.
ආපසු මාර්ගයේ ග්‍රහණය නැවත කරන්න, මන්ද අඩවියකට හැකි පිටවීම් දෙකක් ඇති විට අසමමිතික රවුටින්ග් සාමාන්‍යයි. එක් දිශාවකට වැඩ කර අනෙකෙහි කාලය ඉකුත් වන උමඟ සෑම විටම පාහේ මෙයයි, අනෙක් පැත්තේ කිසිදු ප්‍රතිපත්ති සංස්කරණයක් එය නිවැරදි නොකරයි.