VPN kati ya maeneo au ufikiaji wa mbali: kila kimoja kinaunganisha nini

Miundo yote miwili inaitwa VPN na hutatua matatizo tofauti. Handaki kati ya maeneo huunganisha lango mbili, hivyo kila mwenyeji nyuma yao anaweza kufikia anwani zilizoruhusiwa upande mwingine bila kufunga kitu chochote. Handaki la ufikiaji wa mbali huunganisha vifaa binafsi na mtandao, mteja mmoja kwa wakati mmoja. Ulinganisho ni muhimu kwa sababu makosa mengi ya usambazaji hutokana na kusanidi moja huku ukitarajia tabia ya lingine, na dalili kawaida ni kukatika kwa muda katika huduma ambayo handaki ilifikia kwa kweli.

Miundo miwili, mipaka miwili

Hakuna muundo unaopanua kikoa cha matangazo cha LAN. Vifaa vya upande wa mbali havionekani kwenye orodha ya ugunduzi ya ndani, na kutarajia hilo ni dhana ya kwanza ya kuachana nayo. Majina ya DNS ya faragha unayochapisha kwa makusudi yanatabirika zaidi kuliko itifaki yoyote ya ugunduzi, na yanastahimili mabadiliko ya msambazaji.

Chukua 10.10.0.0/24 katika eneo moja na 10.20.0.0/24 katika lingine. Lango A linahitaji njia au kichaguzi cha trafiki kinachotuma kiambishi 10.20.0.0/24 kwenye handaki, na lango B linahitaji picha yake ya kioo. Kisha wenyeji wa pande zote hutumia muunganisho wa kawaida wa IP na hawajui kamwe kwamba handaki lipo. Kutoona huko ndiyo kipengele, na ndiyo sababu hitilafu zinaonekana kama makosa ya kawaida ya mtandao badala ya makosa ya handaki.

Inayotegemea sera na inayotegemea njia si handaki moja

Katika usambazaji wa IPsec unaotegemea sera, vichaguzi vya trafiki vilivyojadiliwa hubainisha hasa jozi zipi za chanzo na lengwa zinalindwa. Ikiwa subneti mpya itaonekana nyuma ya lango moja na hakuna kichaguzi kinachoifunika, handaki linabaki hai na subneti mpya haisafirishwi kabisa. Katika muundo unaotegemea njia, kiolesura hupokea trafiki na jedwali la njia huamua, jambo linalofanya kuongeza kiambishi kuwa badiliko la njia badala ya majadiliano mapya ya handaki.

StrongSwan huonyesha mitazamo yote miwili moja kwa moja, na kuisoma pamoja ndiyo njia ya kujua ni modeli gani ulisambaza kwa kweli.

swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'

Orodha ya vichaguzi inayokosa kiambishi unachohitaji hufafanua hitilafu bila kunasa pakiti yoyote, na njia inayoelekeza kiolesura kisichofaa hufafanua hitilafu ya kioo kwenye njia ya kurudi. Soma zote mbili kabla ya kujadili upya kitu chochote, kwa sababu uhuishaji wa ufunguo hautaongeza kichaguzi ambacho hukuwahi kusanidi.

Panga anwani kabla ya handaki

Masafa yanayogongana ni kosa la muundo ambalo haliwezi kurekebishwa kwa usanidi. Ikiwa maeneo yote mawili yanatumia 192.168.1.0/24, mwenyeji anayehitaji 192.168.1.50 ana wagombea wawili na hakuna njia ya kuchagua. Handaki litathibitisha, vyama vya usalama vitaundwa, na uamuzi wa njia utakuwa mbaya au usio wazi hata hivyo.

Chagua moja ya chaguo tatu za uaminifu: rudia namba eneo moja, tafsiri masafa yanayogongana kwenye lango ili kila upande uone kiambishi tofauti, au acha njia ya moja kwa moja kwa wenyeji hao na chapisha huduma kwa njia nyingine. Kila moja ina gharama, na ya kwanza kawaida ni ya bei nafuu katika kipindi cha miaka miwili. Amua kabla handaki halipo, kwa sababu baadaye badiliko hilo litagusa kila kifaa kilicho na anwani ya zamani.

Tatua pia suala la MTU mapema. Handaki hupunguza mzigo unaofaa, na muundo unaotegemea ugawaji sehemu hujifanya tofauti na ule unaobainisha MSS kwenye lango.

Upelekaji na sera ziko nje ya handaki

Lango lazima liwe tayari kupeleka pakiti kati ya kiolesura cha handaki na kiolesura cha LAN, na pande zote mbili zinahitaji sera inayoruhusu huduma. Katika Linux hivi ni mipangilio miwili tofauti, pamoja na kanuni za firewall zinazoamua kama mtiririko uliopelekwa unaruhusiwa kabisa.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPT

Mwenyeji anayepokea huongeza tabaka la tatu: firewall yake mwenyewe bado lazima ikubali mteja kutoka subneti ya mbali. Seva ya faili inayoruhusu tu /24 yake ya ndani itakataa trafiki iliyopelekwa kutoka 10.20.0.7, hata handaki lionekane na afya kiasi gani, na kukataa huko ni rahisi kusoma kama hitilafu ya njia.

Jaribu kutoka kwa mwenyeji, si kutoka kwa lango

Ping inayotumwa na lango lenyewe inaweza kufuata anwani ya chanzo na sera tofauti na trafiki ya mtumiaji iliyopelekwa. Hilo huifanya kuwa jaribio dhaifu na wakati mwingine la kupotosha: hufaulu wakati programu ikishindwa, au hushindwa wakati programu ikifanya kazi.

ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/null

Tumia mwenyeji halisi, anwani halisi ya chanzo na itifaki halisi ambayo programu inatumia. Kisha soma njia ya kurudi kwa mbali, kwa sababu mwelekeo wa mbele unaofanya kazi bila njia ya kurudi hutoa kukatika kwa muda kunakoonekana sawa na huduma iliyozuiwa.

Chagua muundo kulingana na swali unalojibu: unaunganisha mitandao au unapokea vifaa? Kila kitu kingine, ikiwa ni pamoja na msambazaji gani unasanidi, kinatokana na jibu hilo.