Ktorý paket má zachytiť politika VPN s dvoma WAN?

Požiadavky smerovať VPN cez druhú prípojku opisujú najmenej dve rôzne úlohy a politika, ktorá opraví jednu, sa tej druhej nedotkne. V prvej úlohe sa šifrovaný transport medzi dvoma koncovými bodmi presúva na inú adresu WAN. V druhej vychádza dešifrovaný tok aplikácie pripojeného používateľa k inému ďalšiemu hopu. Oboje je legitímne, oboje používa smerovanie a každé potrebuje zhodu na pakete, ktorý v mieste rozhodnutia existuje. Prejdite kontroly nižšie po poradí, pretože prvá určuje, ktorý paket majú neskoršie pravidlá pomenovať.

Pomenujte oba rozhovory

Predstavte si vzdialeného pracovníka pripojeného k firemnej bráne, ktorý otvára HTTPS k internému aplikačnému serveru. Po linke idú dva nezávislé rozhovory a na každom konci majú iné adresy. Vonkajší rozhovor prebieha medzi dvoma koncovými bodmi VPN: od adresy brány k adrese partnera, s tým protokolom a portom, ktoré nasadenie vyjednalo. Vnútorný rozhovor ide od adresy pridanej klientovi k adrese aplikačného servera na porte 443.

Cieľový port aplikácie nie je transportný port VPN a žiadne množstvo politiky na TCP 443 tunelom nepohne. Rovnako pravidlo, ktoré presmeruje transportnú adresu partnera, nič nehovorí o tom, kam ide požiadavka HTTP tohto používateľa po dešifrovaní. Zapíšte oba rozhovory s ich skutočnými adresami, skôr než sa dotknete pravidla, pretože väčšina zmätku v tejto oblasti vzniká tým, že sa jeden pomenuje a druhý nakonfiguruje.

Zistite, kde vaša politika paket naozaj vidí

Zhoda sa musí vyhodnocovať v tom reťazci a mennom priestore, kde je paket ešte vo vami opísanej podobe. Pravidlo zavesené na vstupe LAN vidí vnútorný paket nešifrovaný, skôr než je smerovaný k tunelu. Pravidlo použité na lokálne vytváranú prevádzku vidí pakety, ktoré brána sama vytvára, a nepokrýva automaticky prevádzku, ktorú brána iba preposiela. Zapuzdrený výstup je opäť tretí prípad, zvyčajne riešený na rozhraní, ktoré nesie tunel, a nie na strane LAN.

Preto sa ten istý úryvok konfigurácie správa na dvoch platformách inak: miesta zavesenia sa líšia a háčik politiky výrobcu môže byť pred krokom šifrovania alebo za ním. Čítajte cestu paketu pre konkrétny produkt, namiesto odvodzovania poradia z diagramu iného výrobcu.

Potvrďte transport, ktorý ste vyjednali

Pre IPsec zapuzdrený v UDP RFC 3948 vkladá ESP do UDP a používa značku, ktorá nie je ESP, aby IKE zostal na zdieľanom porte rozlíšiteľný. Obyčajný ESP je IP protokol, nie port TCP alebo UDP, takže pravidlo firewallu napísané na číslo portu ho vôbec nezachytí. Toto rozlíšenie rozhoduje, či vaša politika WAN potrebuje pravidlo UDP, pravidlo protokolu, alebo oboje.

Vyjednané hodnoty víťazia nad zapamätanými. Čítajte aktuálne porty a adresy asociácie zo zariadenia, namiesto pridávania TCP 4500 alebo starého portu výrobcu pre istotu, čo zachytí nesúvisiacu prevádzku a skryje skutočný problém klasifikácie.

Skontrolujte spiatočnú cestu, skôr než sa zaviažete

Úspech v odchádzajúcom smere dokazuje polovicu návrhu. Paket vracajúci sa k fondu vzdialených klientov už nie je pod adresou klienta viditeľný, keď ho zapuzdrenie nahradí: vonkajším cieľom je transportná adresa partnera. Ak sa druhá prípojka dostane k tomuto partnerovi cez iného operátora, jej preklad a filtrovanie sa môžu rozísť s prvou a asociáciu bude možno treba radšej prestavať než migrovať.

Stav prekladu sieťových adries je obvyklou obeťou prepnutia WAN. Zaznamenajte zvolenú prípojku, očakávanú vonkajšiu zdrojovú adresu, používaný preklad a dostupnosť partnera späť k nej, potom držte transport dostupný bez toho, aby ste ho posielali do tunela, ktorý nesie.

Overte obe vrstvy dvoma záznamami

Jeden záznam na rozhraní WAN a jeden vnútri tunela vyriešia otázku rýchlejšie než akékoľvek porovnanie konfigurácie. Spustite ich z brány, kým schválený klient vykonáva jedinú požiadavku, a oba súbory si ponechajte.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Prvý záznam má ukázať vonkajší rozhovor opúšťajúci rozhranie, ktoré ste zamýšľali, s očakávanou zdrojovou adresou. Druhý má ukázať vnútorný rozhovor raz, bez duplikácie, s adresou klienta ako zdrojom a aplikačným serverom ako cieľom. Vyhľadanie trasy potvrdzuje, ktorú tabuľku by smerovač pre túto dvojicu zdroj a cieľ použil, a práve tam sa chyba v politike zvyčajne objaví. Ak sa niektorý záznam neobjaví, rozhodovací bod je inde než tam, kam bolo pravidlo zavesené, a oprava patrí tam, nie do širšej zhody.