Ко заправо одговара на наменној адреси VPN-а?

Адреса која стоји неискоришћена у додели организације није слушалац, и додавање у заштитни зид не ствара га. Нешто мора да заврши IKE на тој адреси, а механизам се разликује у зависности од тога да ли мрежни пролаз поседује адресу или је преводи уређај узводно. Управо пут пакета разликује те две ситуације, и он одлучује која вам је функција платформе потребна пре него што било ко отвори захтев за измену. Прво моделирајте пут, па одаберите.

Пут пакета иза адресе

Партнер шаље IKE на адресу коју је добио, на UDP 500 или на UDP 4500 када је у игри пролаз кроз NAT. Који год уређај на путу држи ту адресу, он датаграм или прима локално и одговара на њега, или га прослеђује негде другде. То су једине две могућности, и све остало у овом чланку следи из тога која је истинита.

Локално примање значи да на том уређају постоји утичница везана за ту адресу. Прослеђивање значи да се датаграм преписује и шаље даље на другу крајњу тачку, која тада има утичницу. Правило заштитног зида које дозвољава UDP 500 не говори вам ништа о томе која се од те две ствари дешава.

Запишите запис пре него што било шта додирнете: адресу с којом се партнери повезују, како је испоручује узводна мрежа, локално сучеље или логичку крајњу тачку која је прима, и процес који одговара на IKE. Четири реда, и сваки се може проверити. Када је нешто од тога непознато, то непознато је пројектни рад, а не појединост примене коју ћете решити касније. Попуњавање тих редова након одобрења захтева за измену је начин на који правило превода заврши на погрешном уређају.

Модел A: мрежни пролаз поседује адресу

У првом моделу мрежни пролаз сам држи адресу, било као секундарну адресу на постојећем сучељу, било као адресу на наменском сучељу, било као loopback који платформа подржава као крајњу тачку тунела. То су три различите функције са три различита пута конфигурације, а платформа која подржава једну можда не подржава остале.

Потврдите да платформа и издање подржавају тачно такав распоред пре него што на њему пројектујете. Усмерени блок, додатна адреса на сучељу и loopback крајња тачка нису замењиви, а документација за једно издање не обећава да ће се следеће понашати исто.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Утичница која слуша је доказ. Ако ништа није везано за адресу, мрежни пролаз није завршна тачка без обзира на то шта каже таблица усмеравања, а снимање пакета показаће да датаграми долазе без ичега што на њих одговара.

Не стављајте друго сучеље у подмрежу која већ постоји негде другде у топологији и не претпостављајте да ће платформа то решити. Сучеља у преклапајућим подмрежама дају двосмислен избор извора и, на многим платформама, одбијање конфигурације уопште.

Модел B: узводни уређај је преводи

У другом моделу узводни заштитни зид држи наменску адресу и прослеђује саобраћај на други VPN пролаз. То је превод одредишта са повратним путем, и то је потпуно ваљан дизајн све док је тако документован.

Оно што није, јесте доказ да је узводни уређај стекао локалну VPN утичницу. Превод прослеђује пакете; он не чини узводну кутију IKE одговорачем. Ако се узводно правило уклони или се његов повратни пут поквари, VPN се зауставља иако је мрежни пролаз здрав и његови властити слушаоци нетакнути.

Запишите обе адресе: ону с којом се партнери повезују и ону коју мрежни пролаз стварно види. Затим запишите пренос и повратни пут, јер превод који ради за UDP 500 али не за капсулирани ESP спојиће се и потом неће моћи да носи саобраћај, што је збуњујућа грешка за касније отклањање.

Идентитет није спољна адреса

IPsec одваја крајњу тачку тунела од саобраћаја који штити, а архитектура држи те одлуке на различитим местима. Промена адресе с којом се партнери повезују не мења аутоматски које су унутрашње префиксе дозвољене, које су руте инсталиране ни којима ресурсима сесија може приступити.

Аутентификовани идентитет је опет одвојен. IKEv2 носи носивост идентитета и размену аутентификације која не мора да се подудара са спољном адресом пакета, и управо зато преведени дизајн још увек може исправно да се аутентификује.

Та независност је корисна и истовремено замка. Два DNS имена која се разрешавају на једног обичног слушаоца не бирају различите VPN позадине, а сертификат који именује један идентитет неће задовољити партнера који очекује други. Потврдите шта партнер проверава пре него што претпоставите да то одлучује сама адреса.

Прихватите дизајн гледајући једну везу

Проверите камо се нова овлашћена веза стварно доставља, који идентитет одговара и који је приватни ток затим дозвољен. Три опажања, три различита слоја, а успешна јавна претрага адресе не проверава ниједно од њих.

Задржите и негативан случај: партнера којег не треба прихватити, или унутрашњи префикс који не треба да буде доступан, проверено након промене. Запис који сте написали на почетку је оно што тај тест чини могућим без реконструисања дизајна по сећању.

Смисао свега овога је да се омогући власнику мреже да изабере подржану методу доделе уместо да се ослања на општу тврдњу о томе шта сваки заштитни зид може да уради са додатном адресом. Та тврдња је управо место где ови дизајни греше, јер звучи уверљиво на свакој платформи а општо није истинита ни на једној. Запис од четири реда решава то за вашу платформу за десет минута.