Cila paketë duhet të përputhet nga një politikë VPN me dy WAN?

Kërkesat për ta drejtuar VPN-në përmes lidhjes së dytë përshkruajnë të paktën dy punë të ndryshme, dhe politika që rregullon njërën nuk prek tjetrën. Në punën e parë, transporti i enkriptuar mes dy skajeve kalon në një adresë tjetër WAN. Në të dytën, fluksi i aplikacionit i dekriptuar i një përdoruesi të lidhur del drejt një hopi tjetër pasues. Të dyja janë legitime, të dyja përdorin rrugëzimin, dhe secila kërkon një përputhje mbi një paketë që ekziston në pikën ku merret vendimi. Kaloni kontrollet më poshtë me radhë, sepse e para përcakton cilën paketë duhet të emërtojnë rregullat e mëvonshme.

Emërtoni dy bisedat

Imagjinoni një punonjës në distancë të lidhur me një portë zyre, që hap HTTPS drejt një serveri të brendshëm aplikacionesh. Ka dy biseda të pavarura në tel, dhe ato kanë adresa të ndryshme në secilin skaj. Biseda e jashtme zhvillohet mes dy skajeve të VPN-së: nga adresa e portës në adresën e partnerit, me protokollin dhe portën që ka negociuar vendosja. Biseda e brendshme zhvillohet nga adresa që iu caktua klientit në adresën e serverit të aplikacioneve në portën 443.

Porta e destinacionit e aplikacionit nuk është porta e transportit e VPN-së, dhe asnjë sasi politikash mbi TCP 443 nuk do ta lëvizë tunelin. Po ashtu, një rregull që ridrejton adresën e transportit të partnerit nuk thotë asgjë për atë se ku shkon kërkesa HTTP e atij përdoruesi pas dekriptimit. Shkruani të dyja bisedat me adresat e tyre reale përpara se të prekni një rregull, sepse pjesa më e madhe e konfuzionit në këtë fushë vjen nga emërtimi i njërës dhe konfigurimi i tjetrës.

Gjeni se ku politika juaj mund ta shohë vërtet paketën

Përputhja duhet të vlerësohet në atë zinxhir dhe hapësirë emrash ku paketa është ende në formën që përshkruat. Një rregull i lidhur me hyrjen LAN e sheh paketën e brendshme të paenkriptuar, përpara se të rrugëzohet drejt tunelit. Një rregull i zbatuar mbi trafikun e krijuar lokalisht sheh paketat që krijon vetë porta, dhe nuk e mbulon automatikisht trafikun që porta thjesht e përcjell. Dalja e enkapsuluar është përsëri një rast i tretë, zakonisht trajtohet në ndërfaqen që mban tunelin dhe jo në anën e LAN.

Kjo është arsyeja pse i njëjti fragment konfigurimi sillet ndryshe në dy platforma: pikat e lidhjes ndryshojnë, dhe grepa e politikës së një furnizuesi mund të rrijë para ose pas hapit të enkriptimit. Lexoni rrugën e paketës për produktin konkret në vend që ta supozoni rendin nga diagrami i një furnizuesi tjetër.

Konfirmoni transportin që negociuat

Për IPsec të enkapsuluar në UDP, RFC 3948 e vendos ESP brenda UDP-së dhe përdor një shenjë që nuk është ESP që IKE të mbetet i dallueshëm në portën e përbashkët. ESP i thjeshtë është protokoll IP, jo portë TCP ose UDP, prandaj një rregull muri zjarri i shkruar mbi një numër porte nuk do të përputhet fare me të. Ky dallim vendos nëse politika juaj WAN ka nevojë për një rregull UDP, një rregull protokolli, ose të dyja.

Vlerat e negotiuara mundin ato të kujtuara. Lexoni portat dhe adresat aktuale të shoqatës nga pajisja, në vend që të shtoni TCP 4500 ose një portë të vjetër furnizuesi për çdo rast, gjë që kap trafik të palidhur dhe fsheh problemin e vërtetë të klasifikimit.

Kontrolloni rrugën e kthimit përpara se të angazhoheni

Suksesi në drejtimin dalës vërteton gjysmën e një projekti. Një paketë që kthehet drejt grupit të klientëve në distancë nuk është më e dukshme nën adresën e klientit sapo enkapsulimi e zëvendëson atë: destinacioni i jashtëm është adresa e transportit e partnerit. Nëse lidhja e dytë e arrin atë partner përmes një operatori tjetër, përkthimi dhe filtrimi i saj mund të mos pajtohen me të parën, dhe shoqata mund të ketë nevojë të rindërtohet dhe jo të migrohet.

Gjendja e përkthimit të adresave të rrjetit është viktima e zakonshme e një ndryshimi WAN. Regjistroni lidhjen e zgjedhur, adresën e pritur të burimit të jashtëm, përkthimin në përdorim dhe arritshmërinë e partnerit përsëri drejt saj, pastaj mbajeni transportin të arritshëm pa e dërguar në tunelin që mban.

Verifikoni të dyja shtresat me dy kapje

Një kapje në ndërfaqen WAN dhe një brenda tunelit e zgjidhin çështjen më shpejt se çdo krahasim konfigurimi. Ekzekutojini nga porta ndërsa një klient i miratuar kryen një kërkesë të vetme, dhe ruani të dy skedarët.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Kapja e parë duhet të tregojë bisedën e jashtme duke lënë ndërfaqen që kishit ndërmend, me adresën e pritur të burimit. E dyta duhet të tregojë bisedën e brendshme një herë, e padublikuar, me adresën e klientit si burim dhe serverin e aplikacioneve si destinacion. Kërkimi i rrugës konfirmon cilën tabelë rrugëzuesi do të përdorte për atë çift burimi dhe destinacioni, dhe pikërisht atje shfaqet zakonisht një gabim politike. Nëse ndonjëra nga kapjet nuk shfaqet, pika e vendimit është diku tjetër dhe jo atje ku u lidh rregulli, dhe korrigjimi i takon asaj pike e jo një përputhjeje më të gjerë.