VPN kati ya tovuti kwa msingi wa njia dhidi ya msingi wa sera: nini kinatofautiana
IPsec ya msingi wa sera huchagua trafiki kwa kichaguzi; ile ya msingi wa njia huituma kupitia kiolesura cha handaki. Zote mbili bado zinahitaji kanuni za firewall na njia ya kurudi.
Miundo yote miwili hulinda trafiki sawa kwa mashine sawa ya IPsec, na hutofautiana katika kile kinachoamua ni pakiti gani inaingia kwenye handaki. Katika muunganisho wa msingi wa sera, vichaguzi vya trafiki vilivyojadiliwa hufanya kazi hiyo; katika ule wa msingi wa njia, njia inayoelekeza kwenye kiolesura cha handaki hufanya hivyo. Kuchanganya vyote viwili huzaa uzi wa msaada unaojulikana ambapo handaki hujiripoti kuwa limewekwa huku programu haifikii chochote. Tofauti hiyo ni muhimu zaidi unapoongeza mtandao, unapoendesha itifaki ya uelekezaji, au unapotatua njia inayotoka kimya kupitia njia ya kutoka isiyo sahihi.
Njia mbili za kuamua kinachoingia kwenye handaki
VPN ya msingi wa sera hujenga sera ya usalama inayolingana na viambishi vya chanzo na lengwa, kisha husimba kila kinacholingana. Mwenza lazima ajadili vichaguzi vinavyolingana, kwa hivyo wigo unaofaa hatimaye huwa makutano ya kile pande zote mbili zilipendekeza. Hakuna kitu nje ya makutano hayo kinacholindwa, bila kujali jedwali la uelekezaji linasema nini.
VPN ya msingi wa njia huunda kiolesura kinachowakilisha handaki na kuruhusu jedwali la uelekezaji kutuma trafiki ndani yake. Daemon ya IKE bado husakinisha hali na sera kwa kila kiolesura, na hiyo ndiyo maelezo ambayo watu huruka wanapoamua kuwa njia zimebadilisha usimbaji fiche. Miundo yote miwili husimba kwa IPsec; ni utaratibu wa uchaguzi pekee unaotofautiana.
Soma ulinganisho ulio hapa chini kama mkusanyiko wa alama za kushindwa na si kama jedwali la alama, kwa sababu hakuna safu wima inayoshinda yenyewe.
| Aspect | Policy-based | Route-based |
|---|---|---|
| What selects traffic | Negotiated selectors | A route into the tunnel interface |
| Adding a network | Edit selectors on both peers | Add a route, widen the selector once |
| Dynamic routing | Awkward to run over the tunnel | Runs over the interface directly |
| Typical failure | Tunnel up, host outside the selector | Tunnel up, no route or wrong source |
Msingi wa sera: kichaguzi ni mkataba
Vichaguzi hujadiliwa, si kusanidiwa tu. Pendekeza 10.10.0.0/16 upande mmoja na 10.10.1.0/24 upande mwingine, na muungano utashughulikia kile ambacho majadiliano yalisimama, wakati kila mwenyeji mwingine anabaki nje.
Soma hali iliyosakinishwa badala ya faili ya usanidi. Kwa mwenza wa Linux, majedwali ya kernel yenyewe ndiyo ukweli wa msingi, na yanaonyesha kile kilichobaki baada ya majadiliano. Sera inayotaja viambishi sahihi bila hali inayolingana inamaanisha muungano haukuinuka kamwe. Hali iliyounganishwa na sera ya kiambishi kisicho sahihi ni tatizo kinyume, na huzalisha handaki linaloonekana lenye afya wakati subnetwork moja haifikii chochote.
sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sasLinganisha matokeo yote mawili na viambishi unavyofikiri unavilinda. Ulinganisho huo mmoja hutatua ripoti nyingi za handaki linalofanya kazi na seva isiyofikika. Pia huonyesha mwenza gani wa kubadilisha, kwani kutolingana kwa kawaida huonekana upande mmoja tu.
Msingi wa njia: kiolesura ni mkataba
Kiolesura cha XFRM hukipa handaki jina na utambulisho, na trafiki huifikia kwa sababu jedwali la uelekezaji linasema hivyo. Viambishi kadhaa vya mbali basi huwa tatizo la uelekezaji badala ya tatizo la kichaguzi, na itifaki ya uelekezaji inaweza kuvitangaza. Hiyo ndiyo faida halisi, si usimbaji fiche.
Kiolesura hakiondoi hitaji la sera. Daemon husakinisha kanuni kwa kila kiolesura zilizofungwa na utambulisho wa kiolesura, kwa hivyo pakiti inayofika kwenye kiolesura kisicho sahihi bado hushindwa. Anwani ya chanzo ambayo mwenza hatakubali pia hushindwa, hata ikiwa na njia kamilifu. Msingi wa njia inamaanisha njia huamua kuingia, si kwamba sera imetoweka.
sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10Fuatilia vihesabu vya kiolesura mara njia inapowekwa. Njia ipo wakati vihesabu vinabaki sifuri inamaanisha hakuna kinacholinganishwa ndani ya handaki, jambo ambalo kwa kawaida huonyesha hali inayokosekana badala ya njia inayokosekana.
Ambapo miundo hii miwili hutofautiana kwa kweli
Kuongeza mtandao ni jaribio safi zaidi la muundo gani unakufaa. Muundo wa msingi wa njia huongeza njia moja na kupanua kichaguzi mara moja tu, wakati muundo wa msingi wa sera hurekebisha jozi za viambishi kwa wenzi wote wawili na kujadili upya. Subneti mbili thabiti hufanya marekebisho hayo kuwa rahisi, na ishirini huyafanya kuwa mradi.
Hakuna muundo unaobadilisha firewall, na ulinganisho kwa kawaida huacha kabla ya hatua hii. Kichaguzi pana au njia pana huamua kinachosimbwa, si kinachoruhusiwa.
Tabia ya MTU pia inatofautiana kiutendaji. Ufungaji hupunguza mzigo unaotumika, na kiolesura cha msingi wa njia hubeba MTU yake yenyewe, kwa hivyo kubana MSS kwenye lango zote mbili huepusha dalili ya shimo jeusi ambapo majibu madogo hufika na makubwa hupotea. Handaki za msingi wa sera hukutana na ukuta huo huo kutoka upande mwingine, kwa sababu kichaguzi hakisemi chochote kuhusu ukubwa wa pakiti. Weka ubano kwa makusudi badala ya kumlaumu mwenza.
Kuhamia bila kupoteza njia ya kurudi
Rekodi jozi za viambishi zilizopo kabla ya kubadilisha chochote, kisha hamisha njia moja ya programu na uifuatilie kutoka mwanzo hadi mwisho. Handaki linalowekwa si handaki linalopeleka, na tofauti huonekana katika mwelekeo wa jibu.
Wenzi wanapounganika lakini wenyeji wa LAN hawawezi, kagua njia ya kurudi na anwani ya chanzo ambayo mwenyeji wa mbali atatumia. Mwenyeji mwenye violesura viwili anaweza kujibu kutoka kisicho sahihi, na hakuna mabadiliko ya kichaguzi yanayorekebisha hilo. Nasa trafiki katika ncha zote mbili kabla ya kuhariri algoriti.
ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-connsWeka njia ya usimamizi ambayo haitegemei handaki unapofanya kazi. Kurudi nyuma ni rahisi wakati ufikiaji wa lango wenyewe hauendi juu ya muunganisho unaotatua.