L2TP, GRE apo IPsec: cila shtresë duhet ta mbajë sesionin?

Dy pyetje ngatërrohen sa herë që L2TP, GRE dhe IPsec bien në të njëjtën shënim projektimi: cilin sesion po mbart, dhe cila shtresë e mbron atë? Nëse e para është gabim, gjithçka më poshtë mbetet e qëndrueshme nga brenda, por zgjidh problemin e gabuar — një mbulesë e rrugëzuar e ndërtuar aty ku përdoruesit duhej të hynin me telefonatë, ose një përqendrues telefonatash që qëndron në vend të një porte lokale-më-lokale. Fleta e punës më poshtë e imponon këtë dallim përpara se dikush të hyjë në një pajisje. Plotësojeni me radhë dhe çdo rresht bëhet diçka që mund ta provoni vetë.

Filloni nga sesioni, jo nga lista e protokolleve

Një përdorues në distancë me një sesion PPP dhe një mbulesë e rrugëzuar mes dy portave janë dy marrëdhënie rrjeti të ndryshme, edhe kur të dyja përfundojnë të mbështjella në IPsec. E para përfundon një lidhje për çdo përdorues dhe kërkon ndarje adresash, vërtetim të një personi ose pajisjeje, dhe një politikë që emërton cilat rrjete të brendshme mund të arrijë ai përdorues. E dyta përcjell paketa mes lokacioneve ku askush nuk hyn me telefonatë.

Shkruani një fjali që emërton cilën nga të dyja po ndërtoni, pastaj lexojeni mbrapsht sikur të ishit personi që duhet ta operojë. Nëse fjalise i duhet fjala «dhe», po ndërtoni të dyja, dhe fletës së punës i duhen dy kolona në vend të një kolone kompromisi që i shërben secilës përgjysmë. Nëse emërton një përdorues por jo një pishinë adresash, ose një prefiks por jo një politikë përcjelljeje, fjalia është ende e paplotë. Formulimi tingëllon burokratik, por ky është vendi më i lirë për të kapur një projekt që përndryshe do të zbulohej nga një tiketë në ndihmës.

Jepini secilës shtresë saktësisht një detyrë

L2TPv2 mbart sesione PPP mes dy pikave të tij fundore. PPP drejton negociatat e lidhjes dhe, kur ato negociohen, vërtetimin e përdoruesit; L2TP nuk shton asnjë kriptografi, prandaj një demon L2TP i zhveshur nuk zbaton asnjë pjesë të marrëdhënies së sigurisë së IPsec dhe përket vetëm brenda një lidhjeje që ju tashmë i besoni.

GRE është një inkapsulim mes dy adresave. Ai mbart paketa të shtresës së rrjetit përmes një mbulese logjike dhe, më vete, nuk ofron as konfidencialitet as identitet të vërtetuar të partnerit. Ky nuk është defekt: koka u projektua e thjeshtë që të mbetet e lirë për t'u përpunuar në harduerin e përcjelljes. Pasoja është se GRE përgjigjet vetëm pyetjes si ta zhvendos këtë paketë mes dy adresave dhe asgjë tjetër, dhe kjo është pikërisht pyetja që duhet t'i bëni.

Mbetet IPsec si shtresa që zgjedh trafikun, vërteton partnerët dhe kripton atë që i është thënë të mbrojë. Cilin trafik mbron është një vendim konfigurimi që duhet të përputhet me inkapsulimin që pikat fundore prodhojnë në të vërtetë, sepse një politikë e shkruar për adresën e jashtme të GRE sillet ndryshe nga ajo e shkruar për prefikset e brendshme. Specifikimi GRE mban ngarkesën, kokën GRE dhe protokollin e dorëzimit të jashtëm dukshëm të ndara, dhe politika juaj ka nevojë për të njëjtën ndarje.

Shkruani shtegun e paketës përpara konfigurimit

Merrni një paketë dhe listoni çdo kokë që shtohet, sipas radhës që shtohet, duke emërtuar pajisjen që e shton. Për një përdorues telefonate kjo zakonisht është PPP brenda L2TP brenda IPsec; për një mbulesë lokacioni është paketa IP e brendshme brenda GRE brenda IPsec. Nëse dy pajisje shtojnë të njëjtën kokë, keni një lak ose një tunel të dyfishuar, dhe asnjë redaktim politike nuk e rregullon atë.

E njëjta listë përcakton MTU-në, sepse madhësia e brendshme e përdorshme është MTU-ja e matur e shtegut minus kokën që sapo numëruat dhe asgjë tjetër. Mos kopjoni një numër nga një postim forumi: mblidhni sipërfaqen e IP-së, UDP-së dhe ESP-së të jashtme, pastaj GRE ose L2TP, pastaj PPP ku zbatohet, dhe zbritni nga MTU-ja e shtegut që matët në të vërtetë. Simptomat që shfaqen vetëm në transferime të mëdha, ose sesionet që vendosen dhe pastaj vdesin në përgjigjen e parë të madhe, zakonisht kthehen te fakti që ajo mbledhje u bë me hamendje.

Kontrolloni secilën shtresë veçmas, nga jashtë brenda

Nisni kontrollet me radhë dhe ndaloni te e para që dështon. Çdo rresht përgjigjet një pyetjeje të ndryshme, prandaj një dështim tregon një kolonë të fletës së punës në vend që t'ju thotë se tuneli është thyer.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Në një kuti Cisco ekuivalenti varet nga roli, dhe sintaksa e saktë varet nga platforma dhe versioni: show crypto session për partnerët IPsec, numëruesit e ndërfaqes për ndërfaqen GRE ose tunelin, dhe verifikimi VPDN ose PPP për rolin e telefonatës. Një grup komandash që përfundon PPP nuk provon asgjë për mbështetjen e GRE, dhe një ndërfaqe GRE që punon nuk provon asgjë për shërbimin PPP, prandaj verifikoni rolin që konfiguruat në të vërtetë dhe jo atë në diagram.

Regjistroni çdo dalje pranë rreshtit të fletës së punës ku i përket. Shënimet e marra sa defekti është aktiv vlejnë më shumë se një topologji e rivizatuar më vonë nga kujtesa.

Rregulloni radhën e çmontimit, pastaj rikontrolloni

Çmontimi shkon në radhë të kundërt për një arsye: nxirrni trafikun e mbrojtur nga politika IPsec përpara se të hiqni inkapsulimin për të cilin ishte shkruar, përndryshe politika vazhdon të tregojë një ndërfaqe që nuk ekziston më dhe ngarkimi i ardhshëm i konfigurimit dështon diku që duket i palidhur. Në Linux kjo do të thotë të fshini zërat e gjendjes dhe të politikës përpara ndërfaqes së tunelit; në një ruter, të hiqni hartën kripto ose zërin e profilit përpara tunelit.

Pas rindërtimit, përsëritni katër vëzhgimet e pranimit një nga një: arritshmëria e jashtme, një shoqatim IPsec i vendosur, një sesion PPP i vendosur aty ku projekti përfshin një, dhe përcjellje e brendshme drejt një adrese reale destinacioni. Një dritë e gjelbër nuk është provë për tre të tjerat, dhe pikërisht ai hendek është defekti që mbijeton më gjatë në prodhim — një tunel që është lart, i kriptuar, dhe nuk përcjell asgjë sepse rruga e brendshme nuk u shtua kurrë.

Mbajeni fletën e punës të plotësuar pranë konfigurimit të pajisjes. Çdo kolonë që nuk mund ta plotësoni është një shtresë pa detyrë të caktuar, dhe një shtresë pa detyrë zakonisht është një shtresë që nuk duhet të jetë në pirg.