Laba bood oo VPN ah oo isku xigta: yaa run ahaantii arka taraafikadaada?
Boodka taxanaha ah waxay ku furtaan oo dib u qariyaan barta koowaad; boodka isku dhex jira waxay ka saaraan oo kaliya lakabka dibadda. Mar labada naqshadood oo arag oo kale oo operatorka wax akhriya.
Profiil kasta oo macmiil ah wuxuu magacaabaa hal server, sidaas darteed meesha isticmaalaha waxaa jira hal tunnel iyo hal meel oo ilaalintu ku dhammaato. Waxa ka dhaca bartaas koowaad ka dib waa go'aan naqshadeed oo macmiilku waligiis arkin, labada naqshadood ee caadiga ahna aad bay ugu kala duwan yihiin marka la baadho. Silsilad taxane ah barta koowaad waxay furtaa oo dib u qarinaysaa. Silsilad isku dhex jirta waxay ka saartaa lakabka dibadda oo gudbisaa tunnel gudaha ah oo aanay furi karin. Tirada boodku waa isku mid labadaba, sidaas darteed farqiga waa in la sawiro ee aan la tirin.
Ka bilow macmiilka oo magacaw labada daraf
Ka bilow halka isticmaalaha ka bilaabo, ee profiilka xidhiidhka. Waxa uu hayaa hal cinwaan fog, hal hab xaqiijin iyo, marka naqshaddu taageerto, liis dariiqooyin ah. Calaamadee tunnelkaas dibadda ah ee macmiilka ilaa barta A oo sii cinwaanno tusaale ah: cinwaanka tunnelka macmiilka 10.77.0.2, kan A 10.77.0.1, iyo barta dhamaadka dadweynaha ee A 198.51.100.10, oo laga soo qaatay baaxadda dukumeentiga TEST-NET-2 si aan waxba tusaalaha ku jira uusan ku dhicin martigeliyaha dhabta ah.
Waxba profiilkaas kuma xusna barta B, taasina ma aha cillad. Boodka labaad waxaa iska leh A, waajibaadka kaliya ee macmiilka waa inuu taraafikada gaarsiiyo A oo uu aqbalo waxa soo noqda. In A tunnelka dhammeeyo, gudbiyo ama uu furto mid cusub waa su'aasha ay ka jawaabayso inta kale ee safarkan, waxayna go'aamisaa waxa A akhrin karo.
Taxane: A wuu furaa, ka dibna dib u qarinayaa
Naqshadda taxanaha ah A waxay dhammeysaa taraafikada laba jeer. Waxay ka saartaa ilaalinta macmiilka, heshaa baakadda IP ee barnaamijka, ka dibna baakaddaas u dirtaa tunnel labaad oo A u abuurto dhanka B. Inta u dhaxaysa labada hawlgalladaas baakaddu waxay ku fadhiisataa dariiqa gudbinta A sida baakad IP caadi ah oo loo cinwaanay goob gaar ah.
Taasi waxay soo saartaa laba natiijo oo ay mudan tahay in si cad loo yidhaahdo. A waxay ku dabaqi kartaa siyaasad baakadda gudaha, qaab dariiqooyin, xeerar shaandhayn iyo diiwaangelinta isha iyo goobta, waana in A ay haysato laba xirmo oo aqoonsi: mid server ahaan macmiilka iyo mid macmiil ahaan B. Ilaalintu waxay jirtaa daqiiqad kasta, laakiin shayga la ilaaliyo wuxuu A agteeda beddelaa aqoonsiga.
Taas macneheedu ma aha in A ay akhrido qoraalka cad ee barnaamijka. Marka macmiilka iyo adeeggu ay ordiyaan TLS oo ay isku xaqiijiyaan shahaadooyinka, A waxay arkaa qulqul diiwaan TLS halkii codsi la akhrin karo. Xaqiijinta halka ilaalintaas ku dhammaato waxay u baahan tahay in la eego silsiladda shahaadooyinka adeegga, ee aan la eegin sawirka tunnelka.
Isku dhex jira: A waxay ka saartaa oo kaliya lakabka dibadda
Naqshadda isku dhex jirta macmiilku wuxuu marka hore dhisaa tunnel gudaha ah oo u socda B ka dibna tunnelkaas wuxuu ku qaadaa gudaha kan dibadda ilaa A. A waxay ka saartaa madaxa dibadda, waxay heshaa tunnel gudaha ah oo gudbisaa iyada oo aan haysan furayaashiisa, sidaas darteed ilaalinta gudaha wali waxay ku dhammaataa B.
Markaas xidhiidhka kor u socda ee macmiilku wuxuu qaadaa laba lakab, halka dariiqa u dhexeeya A iyo B uu qaado mid. A waxay arkaa cinwaannada dibadda ee tunnelka gudaha, taas oo ku filan in la ogaado in taraafiku jiro iyo qiyaastii halka uu u socdo, lamana filna in la akhriyo culayska. Taasi waa farqiga oo dhan ee kiiska taxanaha, mana jiro tirin bood oo muujisa. Waxa A wali sameyn karto waa in ay diiddo gudbinta waxa aanay akhrin karin, taasna mar walba way u furan tahay operatorka bartaas.
Isku dhexgalku wuxuu bixiyaa qiimahaas sifo. Lakab kastaa wuxuu ku darayaa kharash madax, sidaas darteed qorshaynta MTU iyo MSS waxay noqotaa waajib ee aan ahayn kaliya nidaamsan, dariiq ku shaqeeya hal lakabna waxay si aamusnaan ah u tuuri kartaa baakado waaweyn laba lakab. Lakab kastaa wuxuu sidoo kale u baahan yahay habdhaqankiisa dib u xidhiidh iyo sii noolaansho, cillad ku timid hal lakabna waxay uga muuqataa tan kale sida joojin qayb ah.
Sawir goobjoogayaasha, ee aan kaliya tunnelada
Tunneladu waa qaybta fudud ee sawirka. Goobjoogayaashu waa waxa naqshaddu ku saabsan tahay, sidaas darteed qor hal saf oo ka mid ah aragti kasta oo buuxi waxa mid kastaa run ahaantii akhrin karo.
| Vantage point | Serial chain | Nested chain |
|---|---|---|
| Client's access network | Outer tunnel only | Outer tunnel only |
| Operator of A | Inner IP packet between A and B | Outer addresses of the inner tunnel, not its payload |
| Path between A and B | Second tunnel | Second tunnel |
| Operator of B | Inner packet re-originated by A | Payload after the inner layer is removed |
| Service edge | Traffic from the exit address | Traffic from the exit address |
Laba saf ayaa si joogto ah loo khaldaa: operatorka A iyo bixiyaha tunnelka macmiilka. Waxay noqon karaan hal hay'ad, magacyo barta oo kala duwanna ma ka dhigaan kuwo madax bannaan. Milkiyad madax bannaan waxay u baahan tahay maamul gaar ah, aqoonsi gaar ah iyo diiwaangelin gaar ah.
Xogta meta waxay ka badbaadaan labada naqshadood. Waqtiga, cabbirka baakadaha iyo tirada xidhiidhka ayaa weli lagu arki karaa bood kasta, sidaas darteed laba bood waxay kordhiyaan kharashka isku xidhka halkii ay calaamadda ka tusi lahaayeen. Naqshad ballan qaadday dahsoonida waa in lagu barbardhigo liiskaas ka hor inta aan qof ku tiirsanaan.
Mar dariiqooyinka guuldarrada ka hor inta aadan dooran
Si ula kac ah wax uga jebi macmiilka, sida isticmaalaha u la kulmi lahaa. Ka bilow interface iyo MTU-deeda, sababtoo ah isku dhexgalku wuxuu ku guuldareystaa cabbirka baakadda pali badan ka hor inta uusan ku guuldareystaan xaqiijinta.
ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1Ka dib xaqiiji barta dhamaadka ilaalinta halkii aad ka fikiri lahayd. Weydii adeegga shahaadadiisa gudaha tunnel kasta oo furan, oo barbardhig silsiladda macmiilku arko iyo silsiladda adeeggu run ahaantii soo bandhigo. Barta dib u saxeexda ama dhexgasha waxay beddelaa shahaaddaas, baadhistuna waxay noqotaa mid muuqata hal amar.
openssl s_client -connect intranet.example.com:443 -brief < /dev/nullKu dhammee matrixka dib u xidhiidhka: tunnelka macmiilku wuu dhacaa, tunnelka B wuu dhacaa, dariiqa u dhexeeya A iyo B wuu is beddelaa. Qor waxa soo noqda iyo waxa aan soo noqon, iyo in xidhiidh gudaha ah uu waligiis ku dhaco dariiq ka baxsan sidihiisa loogu talagalay. Diiwaangeli cinwaannada ay isticmaaleen tijaabo kastaa, sababtoo ah ku celinta shabakad kale oo gelitaan ah waxay ka jawaabaysaa su'aal kale. Sidoo kale ku celi tijaabada MTU dib u xidhiidh kasta ka dib, sababtoo ah dariiq is beddelay wuxuu hoos u dhigi karaa cabbirka la isticmaali karo iyada oo aan hal saf oo qaabaynta ah dhaqaaqin.
Dooro taxanaha marka A ay tahay in ay siyaasad ku dabaqdo baakadda gudaha, ama marka macmiilku aanu ordi karin laba tunnel oo is dul saaran. Dooro isku dhexgalka marka culayska guduhu ay tahay in uu A agteeda aan la akhrin karin u ahaado. Qor doorashada iyada oo la socota goobjoogayaasheeda iyo lambarradeeda MTU, qofka xigaana uma baahna in uu dib u sawiro sawirka oo dhan si uu uga jawaabo hal su'aal.