Ena omrežna kartica ali dve? Določanje postavitve vmesnikov strežnika VPN

En fizični vmesnik zadostuje za mnoge strežnike VPN in tudi to ni univerzalna rešitev. Šifrirana povezava prispe na ta vmesnik, proces VPN jo dešifrira, nato pa notranji promet odide skozi navidezni vmesnik, preden doseže lokalno storitev ali usmerjeni LAN. Ali bo to delovalo, je odvisno od treh pogojev: kje je cilj, ali ima LAN povratno pot do nabora odjemalcev in ali ena skupna fizična povezava daje izolacijo, ki jo zatrjujete. Odgovorite na te tri in število vmesnikov sledi.

Trije pogoji, ki to odločijo

Prvi pogoj je cilj. Storitev na samem gostitelju VPN je dosegljiva le skozi vmesnik tunela, medtem ko gostitelj v LAN zahteva posredovanje in povratno pot. Drugi pogoj je ta povratna pot, ker mora naprava LAN vedeti, kako doseže nabor odjemalcev, bodisi s potjo bodisi s prevajanjem na strežniku.

Tretji pogoj je ločevanje. En vmesnik pomeni, da si vsak paket, šifriran ali ne, deli eno povezavo in običajno eno verigo pravil, zato izjava o izolaciji, ki temelji na ločeni strojni opremi, z enim vmesnikom ni izpolnjena. To je dejstvo o poti, ne o tem, kako je konfiguriran operacijski sistem. Promet tunela lahko še vedno filtrirate, ne morete pa zatrjevati meje, ki je nimate.

Nobeden od treh ne govori o številu vrat na ohišju. Govorijo o usmerjanju, lastništvu naslovov in o tem, koliko je zasnova odvisna od fizičnega ločevanja.

Dva vmesnika ostaneta legitimna izbira, ko ju upravičujejo fizične cone, ločene povezave navzgor, prepustnost ali pot za obnovitev zunaj pasu. To so konkretne zahteve in vredno jih je zapisati, preden kdo naroči strojno opremo.

Ko storitev teče na gostitelju VPN

Najpreprostejši primer ne potrebuje posredovanja. Daemon prejme pakete odjemalca na vmesniku tunela in jih izroči lokalni vtici, odgovor pa se vrne po istem vmesniku. Za gostitelja je naslov iz nabora odjemalcev pravi lokalni naslov.

Dve stvari morata vseeno držati: storitev mora poslušati na naslovu, ki ga tunel lahko doseže, in požarni zid gostitelja mora sprejeti promet, ki prihaja na vmesnik tunela. Oboje je vidno v spodnjih ukazih.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Vezava storitve samo na javni naslov ali pomotoma filtriranje vmesnika tunela ustvari povezavo, ki doseže gostitelja in nato umre. To je videti kot okvara VPN in je običajno odločitev o vtici ali požarnem zidu.

Ko je cilj v LAN

Tu se zasnova z enim vmesnikom zasluži sloves zapletene. Strežnik mora posredovati pakete odjemalca proti LAN, naprava LAN pa mora poslati odgovore nazaj v nabor odjemalcev. Ali ta nabor nosite kot pot v LAN, ali pa na strežniku prevedete izvorni naslov, da se odgovori vrnejo k strežniku samemu.

Oba odgovora sta legitimna in spodletita različno. Povratna pot ohrani izvorni naslov odjemalca viden cilju, kar je dobro za dnevnike in slabo za pravila požarnega zidu, ki predpostavljajo naslove LAN. Prevajanje ohrani LAN preprost in skrije identiteto odjemalca pred ciljem.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Asimetrična pot je klasičen simptom: zahteva odjemalca prispe, odgovor odide skozi drug usmerjevalnik in povezava na obeh koncih poteče brez napake. Preden sklepate karkoli o tunelu, zajemite promet na obeh straneh.

Zakaj alias ne ustvari druge cone

Dodajanje drugega naslova istemu vmesniku ali ustvarjanje dummy vmesnika, ki posnema druga vrata, spremeni zelo malo. Paketi še vedno odidejo skozi isto fizično povezavo, ista vrata stikala in običajno isto verigo požarnega zidu, zato med njimi ne nastane nova meja. To je udobje konfiguracije, ne segmentacija. Obravnavanje tega kot meje cone je način, kako izjava o izolaciji preživi le na papirju.

Ločena cona zahteva resnično ločevanje na poti in to zahtevo izpolni drugi vmesnik. Če je pravilo odvisno od tega, da promet proti VPN nikoli ne deli oddajne domene s prometom proti LAN, en kabel te lastnosti ne more dati, ne glede na to, kako je gostitelj naslovljen.

Kjer izdelek dokumentira topologijo z več vmesniki za določen način, sledite dokumentaciji tega izdelka, namesto da bi izumili obhod. Ponudniki tudi spreminjajo podprte topologije med izdajami, kar je še en razlog za branje trenutnega vodnika in ne posnetka zaslona starega čarovnika.

Preverite postavitev glede na promet, ki ga dovoljujete

Naštejte razrede prometa, ki jih mora strežnik prenašati: odjemalec do gostitelja, odjemalec do LAN, gostitelj do LAN in šifrirana zunanja povezava. Vsak razred ima vir, cilj in vmesnik, postavitev pa mora izpolniti vse štiri hkrati. Zasnova, ki obvlada tri od njih, običajno ustvarja zahtevke.

Nato potrdite dejanske vmesnike in dejanski zajem, ne diagrama v projektnem dokumentu. Spodnji ukazi izpišejo oba pogleda.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Če zunanji zajem kaže šifriran promet in notranji zajem kaže dešifriran promet na vmesniku tunela, medtem ko fizični vmesnik prenaša oba, delo opravlja ena kartica. Če je notranji zajem prazen, je težava v tunelu ali v pravilih posredovanja, ne v številu vmesnikov. Določite topologijo iz teh dveh zajemov in usmerjevalne tabele, in naslednja sprememba bo imela s čim primerjati.