Jedna sieťová karta alebo dve? Určenie usporiadania rozhraní servera VPN

Jeden fyzický adaptér stačí pre mnohé servery VPN a ani to nie je univerzálne riešenie. Šifrované spojenie prichádza na tento adaptér, proces VPN ho dešifruje a potom vnútorná prevádzka vychádza cez virtuálne rozhranie, kým dorazí k lokálnej službe alebo k smerovanému LAN. Či to funguje, závisí od troch podmienok: kde sa nachádza cieľ, či má LAN spiatočnú cestu do fondu klientov a či jedno zdieľané fyzické prepojenie dáva izoláciu, ktorú deklarujete. Odpovedzte na tieto tri a počet adaptérov z toho vyplynie.

Tri podmienky, ktoré to rozhodujú

Prvá podmienka je cieľ. Služba na samotnom hostiteľovi VPN je dostupná iba cez rozhranie tunela, kým hostiteľ v LAN vyžaduje preposielanie a spiatočnú cestu. Druhá podmienka je tá spiatočná cesta, pretože zariadenie LAN musí vedieť, ako sa dostať do fondu klientov, či už cestou, alebo prekladom na serveri.

Tretia podmienka je oddelenie. Jeden adaptér znamená, že každý paket, šifrovaný alebo nie, zdieľa jedno prepojenie a zvyčajne jeden reťazec pravidiel, takže tvrdenie o izolácii, ktoré závisí od samostatného hardvéru, nie je splnené jedným rozhraním. Je to fakt o ceste, nie o tom, ako je nakonfigurovaný operačný systém. Prevádzku tunela môžete stále filtrovať, ale nemôžete tvrdiť, že máte hranicu, ktorú nemáte.

Žiadna z tých troch sa netýka počtu portov na šasi. Týkajú sa smerovania, vlastníctva adries a toho, nakoľko dizajn závisí od fyzického oddelenia.

Dva adaptéry zostávajú legitímnou voľbou, keď ich odôvodňujú fyzické zóny, samostatné uplinky, priepustnosť alebo cesta obnovy mimo pásma. To sú konkrétne požiadavky a oplatí sa ich sformulovať skôr, než niekto objedná hardvér.

Keď služba beží na hostiteľovi VPN

Najjednoduchší prípad nepotrebuje žiadne preposielanie. Démon prijíma pakety klienta na rozhraní tunela a odovzdáva ich lokálnemu socketu a odpoveď sa vracia tou istou cestou. Pre hostiteľa je adresa z fondu klientov skutočná lokálna adresa.

Dve veci však musia byť správne: služba musí počúvať na adrese, ktorú tunel dokáže dosiahnuť, a firewall hostiteľa musí prijímať prevádzku prichádzajúcu na rozhranie tunela. Oboje je vidieť v príkazoch nižšie.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Naviazanie služby iba na verejnú adresu alebo omylom filtrovanie rozhrania tunela vytvára spojenie, ktoré dorazí k hostiteľovi a potom zomrie. Vyzerá to ako porucha VPN a zvyčajne je to rozhodnutie o sockete alebo firewalle.

Keď sa cieľ nachádza v LAN

Tu si dizajn s jedným adaptérom získava povesť zložitého. Server musí preposielať pakety klienta smerom k LAN a zariadenie LAN musí posielať odpovede späť do fondu klientov. Buď nesiete tento fond ako cestu v LAN, alebo prekladáte zdrojovú adresu na serveri, aby sa odpovede vracali k samotnému serveru.

Obe odpovede sú legitímne a zlyhávajú odlišne. Spiatočná cesta ponecháva pôvodnú adresu klienta viditeľnú pre cieľ, čo je dobré pre záznamy a zlé pre pravidlá firewallu, ktoré predpokladajú adresy LAN. Preklad udržiava LAN jednoduchú a skrýva identitu klienta pred cieľom.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Asymetrická cesta je klasický príznak: požiadavka klienta dorazí, odpoveď odchádza cez iný router a spojenie na oboch koncoch vyprší bez chyby. Pred akýmkoľvek záverom o tuneli zachyťte prevádzku na oboch stranách.

Prečo alias nevytvára druhú zónu

Pridanie druhej adresy na ten istý adaptér alebo vytvorenie dummy rozhrania napodobňujúceho druhý port mení veľmi málo. Pakety stále vychádzajú tým istým fyzickým prepojením, tým istým portom prepínača a zvyčajne tým istým reťazcom firewallu, takže medzi nimi nevzniká nová hranica. Je to pohodlie konfigurácie, nie segmentácia. Považovať to za hranicu zóny je spôsob, akým tvrdenie o izolácii prežíva iba na papieri.

Samostatná zóna vyžaduje skutočné oddelenie na ceste a túto požiadavku spĺňa druhý adaptér. Ak pravidlo závisí od toho, že prevádzka smerom k VPN nikdy nezdieľa vysielaciu doménu s prevádzkou smerom k LAN, jeden kábel túto vlastnosť neposkytne, bez ohľadu na adresovanie hostiteľa.

Kde produkt dokumentuje topológiu s viacerými rozhraniami pre konkrétny režim, postupujte podľa dokumentácie tohto produktu a nevymýšľajte obchádzku. Výrobcovia tiež menia podporované topológie medzi vydaniami, čo je ďalší dôvod čítať aktuálnu príručku a nie snímku obrazovky starého sprievodcu.

Overte usporiadanie voči prevádzke, ktorú povoľujete

Vypíšte triedy prevádzky, ktoré má server niesť: klient k hostiteľovi, klient k LAN, hostiteľ k LAN a šifrované vonkajšie spojenie. Každá trieda má zdroj, cieľ a rozhranie a usporiadanie musí splniť všetky štyri naraz. Dizajn, ktorý zvládne tri z nich, je zvyčajne ten, ktorý generuje tikety.

Potom potvrďte skutočné rozhrania a skutočné zachytenie, nie diagram v návrhovom dokumente. Príkazy nižšie vypisujú oba pohľady.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Ak vonkajšie zachytenie ukazuje šifrovanú prevádzku a vnútorné zachytenie ukazuje dešifrovanú prevádzku na rozhraní tunela, kým fyzický adaptér nesie oboje, prácu vykonáva jedna karta. Ak je vnútorné zachytenie prázdne, problém je v tuneli alebo v pravidlách preposielania, nie v počte adaptérov. Určte topológiu podľa tých dvoch zachytení a tabuľky smerovania a ďalšia zmena bude mať s čím porovnávať.