L2TP, GRE au IPsec: safu ipi inapaswa kubeba kipindi?

Maswali mawili huchanganyika kila wakati L2TP, GRE na IPsec zinapokutana katika barua moja ya usanifu: ni kipindi gani ninachokibeba, na ni safu ipi inayokilinda? Ikiwa la kwanza ni kosa, kila kitu chini kinabaki sawa kwa ndani lakini kinatatua tatizo lisilo sahihi — mfuko wa juu ulioelekezwa uliojengwa mahali ambapo watumiaji walihitaji kupiga simu, au kituo cha kupiga simu kinachosimama badala ya lango la tovuti-hadi-tovuti. Karatasi ya kazi hapa chini inalazimisha tofauti hiyo kabla ya mtu yeyote kuingia kwenye kifaa. Ijaze kwa mpangilio na kila mstari unakuwa kitu unachoweza kujaribu peke yako.

Anza na kipindi, sio kwenye orodha ya itifaki

Mtumiaji wa mbali anayeshikilia kipindi cha PPP na mfuko wa juu ulioelekezwa kati ya malango mawili ni mahusiano mawili tofauti ya mtandao, hata wakati yote mawili yanaishia yamefungwa ndani ya IPsec. La kwanza linamaliza kiungo cha kila mtumiaji na linahitaji ugawaji wa anwani, uthibitishaji wa mtu au kifaa, na sera inayotaja mitandao ipi ya ndani mtumiaji huyo anaweza kufikia. La pili husambaza pakiti kati ya tovuti ambazo hakuna mtu anayepiga simu kuingia.

Andika sentensi moja inayotaja ni ipi kati ya hizo mbili unayojenga, kisha uisome tena kana kwamba wewe ni mtu anayepaswa kuiendesha. Ikiwa sentensi inahitaji neno «na», unajenga zote mbili, na karatasi ya kazi inahitaji safu mbili badala ya safu moja ya maafikiano inayohudumia kila moja nusu. Ikiwa inataja mtumiaji lakini hakuna bwawa la anwani, au kiambishi lakini hakuna sera ya usambazaji, sentensi bado haijakamilika. Maneno yanasikika ya ukiritimba, lakini hapa ndio mahali pa bei rahisi zaidi ya kukamata usanifu ambao vinginevyo utagunduliwa na tikiti ya dawati la msaada.

Ipe kila safu kazi moja hasa

L2TPv2 hubeba vipindi vya PPP kati ya ncha zake mbili. PPP huendesha majadiliano ya kiungo na, yanapokubaliwa, uthibitishaji wa mtumiaji; L2TP haiongezi kriptografia yoyote, kwa hiyo daemon tupu ya L2TP haitekelezi sehemu yoyote ya uhusiano wa usalama wa IPsec na inakaa tu ndani ya kiungo unachoamini tayari.

GRE ni ufungaji kati ya anwani mbili. Hubeba pakiti za safu ya mtandao kupitia mfuko wa juu wa kimantiki na, yenyewe, haitoi usiri wala utambulisho uliothibitishwa wa mwenzake. Hilo si kasoro: kichwa kiliundwa kuwa rahisi ili kibakiwe rahisi kuchakata kwenye maunzi ya usambazaji. Matokeo ni kwamba GRE hujibu tu swali la jinsi ya kuhamisha pakiti hii kati ya anwani mbili na hakuna kingine, na hilo ndilo swali unalopaswa kuliuza.

Kinachobaki ni IPsec kama safu inayochagua trafiki, inayothibitisha wenzi na inayosimba kile ilichoambiwa kilinde. Ni trafiki gani inailinda ni uamuzi wa usanidi ambao lazima ulingane na ufungaji ambao ncha zinaizalisha kwa kweli, kwa sababu sera iliyoandikwa kwa anwani ya nje ya GRE ina tabia tofauti na ile iliyoandikwa kwa viambishi vya ndani. Maelezo ya GRE huweka mzigo, kichwa cha GRE na itifaki ya uwasilishaji ya nje wazi wazi tofauti, na sera yako inahitaji utengano huo huo.

Andika njia ya pakiti kabla ya usanidi

Chukua pakiti moja na uorodheshe kila kichwa kinachoongezwa, kwa mpangilio kinavyoongezwa, ukitaja kifaa kinachoiongeza. Kwa mtumiaji anayepiga simu hii kawaida ni PPP ndani ya L2TP ndani ya IPsec; kwa mfuko wa juu wa tovuti ni pakiti ya ndani ya IP ndani ya GRE ndani ya IPsec. Ikiwa vifaa viwili vinaongeza kichwa kimoja, una mzunguko au handaki iliyorudiwa, na hakuna uhariri wa sera utakaurekebisha.

Orodha hiyo hiyo huamua MTU, kwa sababu ukubwa wa ndani unaoweza kutumika ni MTU ya njia iliyopimwa ukiondoa vichwa ulivyoorodhesha na hakuna kingine. Usinakili nambari kutoka chapisho la jukwaa: jumlisha gharama ya IP, UDP na ESP ya nje, kisha GRE au L2TP, kisha PPP inapofaa, na uondoe kutoka MTU ya njia uliyoipima kweli. Dalili zinazojitokeza tu kwenye uhamishaji mkubwa, au vipindi vinavyojianzisha kisha kufa kwenye jibu kubwa la kwanza, kawaida hurudi kwenye kuwa jumlisho hilo lilifanywa kwa kukisia.

Kagua kila safu kivyake, kutoka nje kuingia ndani

Endesha ukaguzi kwa mpangilio na usimame kwenye ule wa kwanza unaoshindikana. Kila mstari hujibu swali tofauti, kwa hiyo kushindikana kunaonyesha safu moja ya karatasi ya kazi badala ya kukuambia handaki imevunjika.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Kwenye sanduku la Cisco sawa yake inategemea jukumu, na sintaksia kamili inategemea jukwaa na toleo: show crypto session kwa wenzi wa IPsec, vihesabu vya kiolesura kwa kiolesura cha GRE au handaki, na uthibitishaji wa VPDN au PPP kwa jukumu la kupiga simu. Seti ya amri inayomaliza PPP haithibitishi chochote kuhusu msaada wa GRE, na kiolesura cha GRE kinachofanya kazi hakithibitishi chochote kuhusu huduma ya PPP, kwa hiyo thibitisha jukumu ulilolisanidi kweli na sio lile la kwenye mchoro.

Rekodi kila matokeo kando ya mstari wa karatasi ya kazi unaohusika. Vidokezo vilivyochukuliwa wakati hitilafu ikiwa hai vina thamani zaidi kuliko topolojia iliyochorwa upya baadaye kutoka kumbukumbu.

Panga mpangilio wa kuvunja, kisha thibitisha tena

Kuvunja huenda kwa mpangilio wa nyuma kwa sababu: toa trafiki iliyolindwa kutoka kwenye sera ya IPsec kabla ya kuondoa ufungaji ambao sera iliandikiwa, vinginevyo sera inaendelea kuelekeza kwenye kiolesura ambacho hakipo tena na upakiaji ujao wa usanidi unashindikana mahali panapoonekana hapana uhusiano. Kwenye Linux hiyo inamaanisha kufuta maingizo ya hali na sera kabla ya kiolesura cha handaki; kwenye kipanga njia, kuondoa ramani ya kripto au ingizo la wasifu kabla ya handaki.

Baada ya kujenga upya, rudia mitazamo minne ya kukubali mmoja mmoja: ufikikaji wa nje, muungano wa IPsec ulioimarika, kipindi cha PPP kilichoimarika pale usanifu unapojumuisha kimoja, na usambazaji wa ndani kwa anwani halisi ya mwisho. Mwanga mmoja wa kijani si ushahidi kwa mitatu mingine, na pengo hilo ndilo hitilafu inayodumu kwa muda mrefu zaidi katika uzalishaji — handaki iliyo juu, imesimbwa, na haisambazi chochote kwa sababu njia ya ndani haikuongezwa kamwe.

Weka karatasi ya kazi iliyojazwa kando ya usanidi wa kifaa. Safu yoyote ambayo huwezi kuijaza ni safu isiyo na kazi iliyopewa, na safu isiyo na kazi kawaida ni safu ambayo haipaswi kuwa kwenye mrundikano.