VPN හි කැපවූ ලිපිනයට ඇත්තටම පිළිතුරු දෙන්නේ කවුද?

සංවිධානයේ වෙන් කිරීමේ භාවිත නොකර වැතිර ඇති ලිපිනයක් ශ්‍රාවකයෙක් නොවේ, එය firewall එකකට එකතු කිරීමෙන් එකක්වත් නිර්මාණය නොවේ. එම ලිපිනයේ IKE අවසන් කළ යුතු යමක් ඇත, සහ ගේට්වේ ලිපිනය සතු ද නැතහොත් ඉහළ උපාංගයක් එය පරිවර්තනය කරයි ද යන්න අනුව යාන්ත්‍රණය වෙනස් වේ. පැකට් මාර්ගයයි දෙකම වෙන් කරන්නේ, සහ කිසිවෙකු වෙනස්කම් ඉල්ලීමක් විවෘත කිරීමට පෙර ඔබට කුමන වේදිකා ලක්ෂණය අවශ්‍ය ද යන්න ද එයම තීරණය කරයි. පළමුව මාර්ගය ආකෘතිකරණය කරන්න, පසුව තෝරන්න.

ලිපිනය පිටුපස පැකට් මාර්ගය

සහකරු තමාට දුන් ලිපිනයට IKE යවයි, UDP 500 හි හෝ NAT තරණය සම්බන්ධ විට UDP 4500 හි. මාර්ගයේ එම ලිපිනය ඇති ඕනෑම උපාංගයක් ඩේටාග්‍රෑමය දේශීයව පිළිගෙන පිළිතුරු දෙයි, නැතහොත් එය වෙනත් තැනකට යවයි. මේවා හැකි එකම අවස්ථා දෙකයි, සහ මෙම ලිපියේ ඉතිරි සියල්ල ඒවායින් කුමක් සත්‍ය ද යන්නෙන් එයි.

දේශීයව පිළිගැනීම යනු එම උපාංගයේ එම ලිපිනයට බැඳුණු socket එකක් ඇති බවයි. යැවීම යනු ඩේටාග්‍රෑමය නැවත ලියා තවත් අන්ත ලක්ෂ්‍යයකට යවන බවයි, එවිට socket එක එහි ඇත. UDP 500 ට අවසර දෙන firewall නියමයක් මේ දෙකෙන් කුමක් සිදුවේ ද යන්න ඔබට නොකියයි.

කිසිවක් ස්පර්ශ කිරීමට පෙර වාර්තාව ලියන්න: සහකරුවන් සම්බන්ධ වන ලිපිනය, ඉහළ ජාලය එය ලබා දෙන ආකාරය, එය පිළිගන්නා දේශීය අතුරුමුහුණත හෝ තාර්කික අන්ත ලක්ෂ්‍යය, සහ IKE ට පිළිතුරු දෙන ක්‍රියාවලිය. පේළි හතරක්, සහ එක් එක් පරීක්ෂා කළ හැක. ඒවායින් එකක් නොදන්නා විට, එම නොදන්නා දේ නිර්මාණ කටයුත්තයි, පසුව තීරණය කළ යුතු ක්‍රියාත්මක කිරීමේ විස්තරයක් නොවේ. වෙනස්කම් ඉල්ලීම අනුමත වූ පසු ඒවා පිරවීම යනු වැරදි උපාංගයට පරිවර්තන නියමයක් එකතු වන මාර්ගයයි.

ආකෘතිය A: ගේට්වේ ලිපිනය සතුය

පළමු ආකෘතියේ දී ගේට්වේ ලිපිනය තමා සතුව තබා ගනී, පවතින අතුරුමුහුණතක ද්විතීයික ලිපිනයක් ලෙස, කැපවූ අතුරුමුහුණතක ලිපිනයක් ලෙස, නැතහොත් වේදිකාව tunnel අන්ත ලක්ෂ්‍යයක් ලෙස සහාය දෙන loopback එකක් ලෙස. මේවා වෙනස් වින්‍යාස මාර්ග ඇති වෙනස් ලක්ෂණ තුනක්, සහ එකකට සහාය දෙන වේදිකාවක් අනෙක් ඒවාට සහාය නොදිය හැක.

එය වටා නිර්මාණය කිරීමට පෙර වේදිකාව සහ නිකුතුව හරියටම මෙම සැකැස්මට සහාය දෙන බව තහවුරු කරන්න. route කළ කොටසක්, අතුරුමුහුණතක අමතර ලිපිනයක් සහ loopback අන්ත ලක්ෂ්‍යයක් එකිනෙකට මාරු කළ නොහැක, සහ එක් නිකුතුවක ලේඛනයක් ඊළඟ නිකුතුව එසේම හැසිරෙන බවට පොරොන්දු නොවේ.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

සවන් දෙන socket එකම සාක්ෂියයි. ලිපිනයට කිසිවක් බැඳී නොමැති නම්, route වගුව කුමක් කීවත් ගේට්වේ අවසන් කරන්නා නොවේ, සහ පැකට් ග්‍රහණය ඩේටාග්‍රෑම පැමිණෙන නමුත් පිළිතුරු දෙන්නෙකු නොමැති බව පෙන්වයි.

topology හි වෙනත් තැනක දැනටමත් පවතින subnet එකකට දෙවන අතුරුමුහුණතක් නොතබන්න, සහ වේදිකාව එය විසඳනු ඇතැයි නොසිතන්න. අතිච්ඡාදනය වන අතුරුමුහුණත් subnet පැහැදිලි නොවන මූලාශ්‍ර තේරීමක් ඇති කරයි, සහ බොහෝ වේදිකාවල වින්‍යාසයට සම්පූර්ණ ප්‍රතික්ෂේපයක් ඇති කරයි.

ආකෘතිය B: ඉහළ උපාංගයක් එය පරිවර්තනය කරයි

දෙවන ආකෘතියේ දී ඉහළ firewall එකක් කැපවූ ලිපිනය සතුව තබා ගෙන රථවාහන වෙනත් VPN ගේට්වේ එකකට යවයි. එය ආපසු මාර්ගයක් සහිත ගමනාන්ත පරිවර්තනයක්, සහ එසේ ලේඛනගත කර ඇති තාක් එය සම්පූර්ණයෙන්ම වලංගු නිර්මාණයකි.

එය නොවන්නේ, ඉහළ උපාංගය දේශීය VPN socket එකක් ලබා ගත් බවට සාක්ෂියක් වීමයි. පරිවර්තනය පැකට් යවයි; එය ඉහළ පෙට්ටිය IKE පිළිතුරු දෙන්නෙකු බවට පත් නොකරයි. ඉහළ නියමය ඉවත් කළහොත් හෝ එහි ආපසු මාර්ගය කැඩී ගියහොත්, ගේට්වේ සුවපත් ව සහ එහිම ශ්‍රාවකයන් අක්ෂත ව තිබියදීත් VPN නතර වේ.

ලිපින දෙකම වාර්තා කරන්න: සහකරුවන් සම්බන්ධ වන එක සහ ගේට්වේ ඇත්තටම දකින එක. පසුව ප්‍රවාහනය සහ ආපසු මාර්ගය වාර්තා කරන්න, මන්ද UDP 500 සඳහා ක්‍රියා කරන නමුත් කැප්සියුල කළ ESP සඳහා ක්‍රියා නොකරන පරිවර්තනයක් සම්බන්ධ වී පසුව රථවාහන රැගෙන යාමට අසමත් වේ, එය පසුව නිදොස් කිරීමට ව්‍යාකූල අසාර්ථකත්වයකි.

අනන්‍යතාවය බාහිර ලිපිනය නොවේ

IPsec tunnel අන්ත ලක්ෂ්‍යය එය ආරක්ෂා කරන රථවාහනයෙන් වෙන් කරයි, සහ නිර්මාණ ශිල්පය එම තීරණ වෙනස් තැන්වල තබා ගනී. සහකරුවන් සම්බන්ධ වන ලිපිනය වෙනස් කිරීමෙන් කුමන අභ්‍යන්තර prefix අවසර ලබා ඇත් ද, කුමන route ස්ථාපනය වේ ද, නැතහොත් සැසියට කුමන සම්පත් වෙත ළඟා විය හැකි ද යන්න ස්වයංක්‍රීයව වෙනස් නොවේ.

සත්‍යාපිත අනන්‍යතාවය නැවතත් වෙනස් ය. IKEv2 බාහිර පැකට් ලිපිනයට ගැළපිය යුතු නොවන අනන්‍යතා පේලෝඩයක් සහ සත්‍යාපන හුවමාරුවක් රැගෙන යයි, සහ ඒ නිසාම පරිවර්තිත නිර්මාණයකට තවමත් නිවැරදිව සත්‍යාපනය කළ හැක.

එම ස්වාධීනත්වය ප්‍රයෝජනවත් මෙන්ම උගුලක් ද වේ. එක් සාමාන්‍ය ශ්‍රාවකයෙකු වෙත විසඳෙන DNS නම් දෙකක් වෙනස් VPN පසුබිම් තෝරා නොගනී, සහ එක් අනන්‍යතාවයක් නම් කරන සහතිකයක් තවත් එකක් බලාපොරොත්තු වන සහකරුවෙකු තෘප්තිමත් නොකරයි. ලිපිනය පමණක් එය තීරණය කරයි යැයි උපකල්පනය කිරීමට පෙර සහකරු සත්‍යාපනය කරන්නේ කුමක් දැයි තහවුරු කරන්න.

එක් සම්බන්ධතාවයක් නිරීක්ෂණය කරමින් නිර්මාණය පිළිගන්න

නව අනුමත සම්බන්ධතාවයක් ඇත්තටම කොහේට ලබා දෙයි ද, කුමන අනන්‍යතාවය පිළිතුරු දෙයි ද, සහ පසුව කුමන පුද්ගලික ගැලීමට අවසර දෙයි ද යන්න පරීක්ෂා කරන්න. නිරීක්ෂණ තුනක්, වෙනස් ස්ථර තුනක්, සහ ලිපිනයේ සාර්ථක පොදු සෙවීමක් ඒවායින් එකක්වත් පරීක්ෂා නොකරයි.

සෘණ අවස්ථාව ද තබා ගන්න: පිළිගත යුතු නොවන සහකරුවෙකු, නැතහොත් ළඟා විය යුතු නොවන අභ්‍යන්තර prefix එකක්, වෙනසෙන් පසුව සත්‍යාපනය කළ එකක්. ආරම්භයේ ලියූ වාර්තාවම, නිර්මාණය මතකයෙන් නැවත ගොඩනැගීමකින් තොරව එම පරීක්ෂණය හැකි කරයි.

මේ සියල්ලේ අරමුණ වන්නේ සෑම firewall එකක්ම අමතර ලිපිනයක් සමඟ කුමක් කළ හැකි ද යැයි පොදු ප්‍රකාශයක් මත රඳා සිටීම වෙනුවට, ජාල හිමිකරුට සහාය දෙන වෙන් කිරීමේ ක්‍රමයක් තෝරා ගැනීමට ඉඩ දීමයි. එම ප්‍රකාශයම මෙම නිර්මාණ වැරදි වන තැනයි, මන්ද එය සෑම වේදිකාවකම විශ්වාසදායක ලෙස ඇසෙන නමුත් සාමාන්‍යයෙන් කිසිවක සත්‍ය නොවේ. පේළි හතරක වාර්තාව ඔබේ වේදිකාව සඳහා එය මිනිත්තු දහයකින් තීරණය කරයි.