Kateri paket mora ujemati politika VPN z dvema WAN?

Zahteve za usmerjanje VPN prek drugega uplinka opisujejo vsaj dve različni opravili, in politika, ki popravi eno, se druge ne dotakne. Pri prvem opravilu se šifriran transport med dvema končnima točkama preseli na drug naslov WAN. Pri drugem dešifriran aplikacijski tok povezanega uporabnika izhaja proti drugemu naslednjemu skoku. Oba sta legitimna, oba uporabljata usmerjanje, in vsak potrebuje ujemanje na paketu, ki obstaja v točki, kjer se odločitev sprejme. Pojdite skozi spodnje kontrole po vrsti, ker prva določi, kateri paket morajo poznejša pravila imenovati.

Imenujte dva pogovora

Predstavljajte si oddaljenega delavca, povezanega z pisarniškim prehodom, ki odpira HTTPS proti notranjemu aplikacijskemu strežniku. Na vodu sta dva neodvisna pogovora in imata na vsakem koncu različne naslove. Zunanji pogovor poteka med dvema končnima točkama VPN: od naslova prehoda do naslova partnerja, s tistim protokolom in vrati, ki jih je dogovorila uvedba. Notranji pogovor poteka od naslova, dodeljenega odjemalcu, do naslova aplikacijskega strežnika na vratih 443.

Ciljna vrata aplikacije niso transportna vrata VPN in nobena količina politike na TCP 443 ne bo premaknila tunela. Prav tako pravilo, ki preusmeri transportni naslov partnerja, ne pove ničesar o tem, kam gre zahteva HTTP tega uporabnika po dešifriranju. Zapišite oba pogovora z njunimi resničnimi naslovi, preden se dotaknete pravila, ker večina zmede na tem področju izhaja iz tega, da se enega imenuje in drugega nastavi.

Ugotovite, kje vaša politika paket resnično vidi

Ujemanje je treba ovrednotiti v tisti verigi in imenskem prostoru, kjer je paket še v obliki, ki ste jo opisali. Pravilo, pripeto na vhod LAN, vidi notranji paket nešifriran, preden je usmerjen proti tunelu. Pravilo, uporabljeno za lokalno ustvarjen promet, vidi pakete, ki jih ustvari prehod sam, in ne pokriva samodejno prometa, ki ga prehod samo posreduje. Zapakiran izhod je spet tretji primer, običajno obravnavan na vmesniku, ki nosi tunel, in ne na strani LAN.

Zato se isti izsek konfiguracije obnaša različno na dveh platformah: pripne točke se razlikujejo, in kljuka politike ponudnika je lahko pred korakom šifriranja ali za njim. Berite pot paketa za konkreten izdelek, namesto da bi vrstni red predvidevali iz diagrama drugega ponudnika.

Potrdite transport, ki ste ga dogovorili

Za IPsec, zapakiran v UDP, RFC 3948 postavi ESP znotraj UDP in uporabi oznako, ki ni ESP, da IKE ostane razločljiv na skupnih vratih. Navaden ESP je protokol IP, ne vrata TCP ali UDP, zato pravilo požarnega zidu, napisano po številki vrat, z njim sploh ne bo ujemalo. Ta razlika odloči, ali vaša politika WAN potrebuje pravilo UDP, pravilo protokola ali oboje.

Dogovorjene vrednosti premagajo zapomn jene. Berite trenutna vrata in naslove asociacije iz naprave, namesto da bi dodali TCP 4500 ali staro ponudnikovo vrsta za vsak primer, kar ujame nepovezan promet in skrije resnično težavo razvrščanja.

Preverite povratno pot, preden se zavežete

Uspeh v odhodni smeri dokazuje polovico zasnove. Paket, ki se vrača proti bazenu oddaljenih odjemalcev, ni več viden pod naslovom odjemalca, ko ga zapakiranje nadomesti: zunanji cilj je transportni naslov partnerja. Če drugi uplink doseže tega partnerja prek drugega operaterja, se njegov prevod in filtriranje morda ne ujemata s prvim, in asociacijo bo morda treba znova zgraditi, ne pa preseliti.

Stanje prevoda omrežnih naslovov je običajna žrtev menjave WAN. Zabeležite izbrani uplink, pričakovani zunanji naslov vira, uporabljeni prevod in dosegljivost partnerja nazaj do njega, nato pa držite transport dosegljiv, ne da bi ga poslali v tunel, ki ga nosi.

Preverite oba sloja z dvema zajemoma

En zajem na vmesniku WAN in eden znotraj tunela rešita vprašanje hitreje kot katera koli primerjava konfiguracije. Zaženite ju s prehoda, medtem ko odobreni odjemalec izvede eno zahtevo, in shranite obe datoteki.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Prvi zajem bi moral pokazati zunanji pogovor, kako zapušča vmesnik, ki ste ga nameravali, s pričakovanim naslovom vira. Drugi bi moral pokazati notranji pogovor enkrat, brez podvajanja, z naslovom odjemalca kot virom in aplikacijskim strežnikom kot ciljem. Iskanje poti potrdi, katero tabelo bi usmerjevalnik uporabil za ta par vir in cilj, in prav tam se običajno pokaže napaka v politiki. Če se kateri od zajemov ne pojavi, je odločitvena točka drugje kot tam, kam je bilo pravilo pripeto, in popravek spada tja, ne v širše ujemanje.