Gelitaanka labaad ee WAN VPN wuu fashilmaa halka kan koowaad uu weli shaqeynayo

Tunnel-ka koowaad wuu furan yahay, isticmaalayaashu way sii shaqeeyaan, wareegga labaad ee ISP-na wuu fadhiyaa si madhan wax kasta oo aad beddesho. Waxaad daabacday cinwaan wareegga kaydka, magac ayaad u jeedisay, laga yaabee inaad gelitaan kayd ah ku dartay macmiilka, macmiilkuna mar walba ma tijaabiyo ama wuu is-aqoonsadaa kadibna dhintaa. Kiisaska aan raadraacay, awoodda isbeddelku badanaa way fiicnayd; waxa maqnaa mid ka mid ah shanta shay ee gelitaanka lagu isticmaali karo. Magac wuxuu u xallin karaa cinwaanka kaydka halka aan waxba ka dhegeysanayn interface-kaas, dhegeystena wuu aqbali karaa xiriir halka jawaabtu ka baxayso dhinaca koowaad. U tixgeli WAN kasta gelitaan gooni ah oo leh heshiis u gaar ah, cilladuna ma noqon doonto sida bug macmiil.

WAN kastaa wuxuu u baahan yahay heshiis gelitaan u gaar ah

Diiwaangeli shan goobood WAN kasta: magaca iyo cinwaanka dadweynaha, gaadiidka iyo dekedda, interface-ka ama macnaha soo afjaraya, aqoonsiga lammaanaha ee ay tahay inuu soo bandhigo, iyo halka jawaabtu ka baxdo. Laba wareeg waxay ka dhigan yihiin laba qaybood oo buuxa. Haddii qaybta labaad aanay lahayn interface soo afjaraya ama aanay lahayn waddo soo celin, ma haysato gelitaan kayd ah; waxaad haysataa diiwaan DNS oo qeexaya ujeeddo.

Qalabka iyo nooca uu ku shaqeeyaa sidoo kale waa inay taageeraan habayntan. Diiwaanka DNS ma furi karo adeeg interface kale, badi naqshadaha dhegeystaha waxaa loo habeeyaa cinwaan ahaan ee ma aha qalab ahaan. IPsec-ka ku salaysan interface-ka ASA wuxuu ku xiraa khariidadaha crypto iyo kooxaha tunnel interface-ka banaanka, sidaas darteed uplink labaad wuxuu u baahan yahay siyaasad lagu dhejiyay halka ay paket-yadu dhab ahaan soo gaaraan. Naqshadaha ku salaysan waddooyinka si kale ayay u dhaqmaan: dhegeystaha wuxuu ku xirmi karaa cinwaan kasta ama hal cinwaan magac leh, doorashadaasna waxay go'aamisaa in ISP B uu jawaab karo iyo in kale.

Hubi in WAN-ka labaad dhab ahaan jawaabo

Ka tijaabi banaanka labada wareeg, ma aha mishiin ka dambeeya gateway-ka, oo tijaabi magaca saxda ah ee borofaylka macmiilku isticmaalo. Dhegeyste TLS ah, hubinta degdega ah waa openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts oo laga socodsiinayo host ka baxsan shabakaddaada. Waxaad rabtaa gacan-qabsasho dhamaystiran oo silsiladdiisu la socoto magaca borofaylka, ma aha oo kaliya deked TCP oo aqbasha xiriir.

RFC 9525 wuxuu sharraxayaa waxa macmiilku hubinayo: aqoonsiga uu doonayay inuu gaaro, marka la barbardhigo shahaadda adeeggu soo bandhigayo. Gelitaan labaad oo soo celiya shahaadda gelitaanka koowaad, ama shahaad caadi ah oo aan labada magac midkoodna ku qorin, wuu ku guuldareystaa imtixaankan in kastoo dekeddu furan tahay oo dab-demiska u oggolaaday.

Laba qaab ayaa sharraxaya inta badan cilladaha halkan. Xiriir hakad ku jira badanaa waxay ka dhigan tahay ma jiro dhegeyste interface-kaas, qaanuun gelitaan oo kaliya u oggolaanaya subnet-yada koowaad, ama qalab shirkadeed ka horreeya wareegga labaad oo dekedda tuuraya. Gacan-qabsasho ku dhammaada aqoonsi khaldan badanaa waxay ka dhigan tahay meel kalsooni kale, host fikradeed caadi ah, ama habayn laga koobiyeeyay kan koowaad iyada oo aan aqoonsiga la hagaajin.

Raac jawaabta, ma aha oo kaliya codsiga

WAN-ka labaad badanaa wuu jabaasaa waddada soo noqoshada. Codsigu wuxuu yimaadaa ISP B, qalabku wuu jawaabaa, jawaabtuna waxay ka baxdaa waddada caadiga ah ee ISP A iyada oo wadata cinwaan isha aan macmiilku waligiis codsan. Turjumaadda xaaladda leh ayaa ka sii daraysa: haddii khariidadda loo dhisay interface-ka koowaad, paketka soo noqonaya wuu seegaa turjumaadda ama wuxuu qaataa isha dab-demiska macmiilku tuurayo. Bixiyeyaashuna waxay tuurayaan cinwaannada isha oo aan ka tirsanayn wareegga ay ku siiyeen, taas darteed tani waxay u muuqataa god madow hal dhinac ah halkii ay ahaan lahayd khalad borotokool oo nadiif ah.

Hubi go'aanka waddo-u-marista ee taraafikada isha ka ah gelitaanka labaad. Jawaabtu waa inay ka baxdo interface-kii codsigu ka yimid, ama ugu yaraan wadataa cinwaan dhinaca fog u aqbalo inuu ka tirsan yahay waddadaas. Nidaamyada waddo-u-maris siyaasadeed, taas macnaheedu waa qaanuun ku xiran interface-ka soo galaya ama isha la turjumay, iyo bayaan turjumaad oo ku xiran interface kasta oo banaanka ah. Qabo labada interface isku mar inta macmiilku xirmayo; SYN soo galaya ISP B oo SYN-ACK ka baxaya ISP A ayaa su'aasha ku xalliya hal orod.

Si macmiilka hab uu ku ogaado gelitaanka labaad

Isbeddelku waa go'aan dhinaca macmiilka, qoys kasta oo macmiilna si kale ayuu u barta beddellada. ASA, liiska server-ka kaydka waxaa lagu gaarsiiyaa sifooyinka webvpn ee siyaasadda kooxda, halka macmiillada kale ay filayaan liis ku jira borofaylka ama borofayl labaad oo gacan ku qoran oo isticmaaluhu doorto. Hagaha siyaasadda xiriirka ee Cisco wuxuu sharraxayaa macluumaadka kaydka ee macmiilku habeeyay iyo kan gateway-ku bixiyay labadaba, tafaasiishaas borotokool-gaar ahna waa inaan lagu guudmarin macmiil kasta ama hab tunnel kasta. Xaqiiji habka uu macmiilka la rakibay fulinayo ka hor inta aadan gelitaanka labaad ku dhisin mid khaldan.

Hab kasta oo uu yahay, macmiilku waa inuu xallin karaa magaca beddelka ka hor inta uusan lumin waddada koowaad. Ku-tiirsanaantaas ayaa dadku seegaan: haddii magaca kaydka uu ka jawaabo xalliyaha laga gaari karo kaliya tunnel-ka hadda fashilmay, kaydku xitaa ma bilaaban karo. Ku daabac magaca labaad xalliyaha ku jawaaba gudaha ama internet-ka. Filasho xaqiijin cusub iyo fadhi application cusub ka dib guurka, sababtoo ah isbeddelka macmiilku ma aha isbeddel xaalad leh oo fadhiyada dhaadheer kama badbaadaan.

Hal cinwaan oo laba bixiye ku yaal waa badeeco kale

Hal cinwaan dadweyne oo labada wareeg laga gaari karo haynta waa adeeg waddo-u-maris, ma aha sanduuq calaamadeed VPN-ka. Waxay u baahan tahay meel cinwaan oo labada bixiye diyaar u yihiin inay qaadaan, laguna dhawaaqay hab shabakadahoodu aqbalaan, taasna waxaa bixiya multihoming leh meel bixiye ka madax banaan iyo BGP. Cinwaanka ISP A ku wareejinta interface-ka ISP B halkaas kuma geeyso; paketku wuxuu gaaraa shabakad aan waligeed dhawaaqin prefix-kaas oo kor looga tuurayo.

Mid ka mid ah kuwaas ma u baahnid inaad laba gelitaan daabacdo. Haddii macmiilku hayn karo laba magac oo uu ku dhex fashilmi karo, laba gelitaan oo madax banaan waa ku filan yihiin, waxaadna ka fogaataa lambar AS, heshiis peering iyo prefix ay tahay in meel walba laga aqbalo. Tixgeli doorashada cinwaanka la qaadi karo kaliya marka aad dhab ahaan u baahan tahay hal goob gelitaan oo deggan oo macmiillada aan laga beddeli karin, ama marka isbeddelka DNS-ku salaysan ee daahitaanka TTL uu aad u gaabis u yahay xannibaadda aad naqshadeyneyso.

Waxa xiga ee la hubinayo

Ka shaqee banaanka gelitaanka fashilmay sidan: cinwaanka labaad ma ka jawaabaa banaanka, ma soo bandhigaa aqoonsiga macmiilku filayo, jawaabtu ma ka baxdaa waddadii codsigu yimid, macmiilkuna ma baran karaa magaca ka hor inta uusan u baahnayn. Meesha jawaabtu tahay maya, hagaaji lakabkaas oo mar kale tijaabi borofaylka la rakibay ee ma aha host tijaabo, sababtoo ah gacan-qabsasho shaybaadhka ka timid waxay caddaynaysaa wax ka yar xiriir dhamaystiran oo macmiilka dhabta ah.

Hay diiwaan gaaban WAN kasta, oo leh cinwaan, deked, interface soo afjaraya, magac shahaado, waddo soo celin iyo qaanuun turjumaad, oo mar kale hubi marka wareeg, qalab NAT ama nooc macmiil isbeddelo. Waddooyinka kaydka ee aan la isticmaalin si aamusan ayay u qudhuntaan: waxba ma digniin gelitaanka aan cidina isticmaalin ilaa maalinta qof walba ku tiirsanaado.