Mikato miwili ya VPN mfululizo: nani anauona trafiki yako kweli?

Kila wasifu wa mteja hutaja seva moja, kwa hivyo kutoka mahali pa mtumiaji kuna handaki moja na mahali pamoja ambapo ulinzi unaisha. Kinachotokea baada ya lango hilo la kwanza ni uamuzi wa muundo ambao mteja hauoni kamwe, na miundo miwili ya kawaida hujiendesha kwa namna tofauti sana chini ya ukaguzi. Katika mnyororo wa mfululizo lango la kwanza hufungua usimbaji na kufunga upya. Katika mnyororo uliopachikwa huondoa tabaka la nje na kupeleka handaki la ndani ambalo haliwezi kulifungua. Idadi ya mikato ni sawa katika yote mawili, kwa hivyo tofauti lazima ichorwe na si kuhesabiwa.

Anza kwa mteja na utaje ncha zote mbili

Anza pale mtumiaji anapoanza, katika wasifu wa muunganisho. Una anwani moja ya mbali, mbinu moja ya uthibitishaji na, muundo unapoiunga mkono, orodha ya njia. Weka lebo kwenye handaki hilo la nje kutoka kwa mteja hadi lango A na upe anwani za mfano: anwani ya handaki ya mteja 10.77.0.2, ile ya A 10.77.0.1, na kituo cha mwisho cha umma cha A 198.51.100.10, zilizochukuliwa kutoka safu ya nyaraka za TEST-NET-2 ili hakuna chochote kwenye mfano kinachoweza kugongana na mwenyeji halisi.

Hakuna chochote katika wasifu huo kinachotaja lango B, na hilo si kasoro. Mkato wa pili ni wa A, na wajibu pekee wa mteja ni kuwasilisha trafiki kwa A na kupokea kinachorudi. Ikiwa A inamaliza handaki, inaipeleka mbele au inafungua mpya ni swali ambalo sehemu iliyobaki ya mwongozo huu inajibu, na hilo huamua A inaweza kusoma nini.

Mfululizo: A hufungua usimbaji kisha kufunga upya

Katika muundo wa mfululizo A humaliza trafiki mara mbili. Huondoa ulinzi kutoka kwa mteja, hupata pakiti ya IP ya programu, kisha hupeleka pakiti hiyo kupitia handaki la pili ambalo A huunda kuelekea B. Kati ya shughuli hizo mbili pakiti hukaa kwenye njia ya upelekaji ya A kama pakiti ya kawaida ya IP iliyoelekezwa kwenye mwisho wa kibinafsi.

Hilo hutoa matokeo mawili yanayofaa kusemwa wazi. A inaweza kutumia sera kwenye pakiti ya ndani, kwa namna ya njia, kanuni za kuchuja na kurekodi chanzo na mwisho, na A lazima ihifadhi seti mbili za vitambulisho: moja kama seva kwa mteja na moja kama mteja wa B. Ulinzi upo kila wakati, lakini kitu kinacholindwa hubadilisha utambulisho kwa A.

Hilo halimaanishi kwamba A inasoma maandishi wazi ya programu. Wakati mteja na huduma zinaendesha TLS na kuthibitisha vyeti vya kila mmoja, A huona mtiririko wa rekodi za TLS badala ya ombi linalosomeka. Kuthibitisha pale ulinzi huo unaishia kunahitaji kuangalia mnyororo wa vyeti vya huduma, si mchoro wa handaki.

Iliyopachikwa: A huondoa tabaka la nje pekee

Katika muundo uliopachikwa mteja hujenga kwanza handaki la ndani kuelekea B kisha hubeba handaki hilo ndani ya lile la nje hadi A. A huondoa kichwa cha nje, hupata handaki la ndani na kulipeleka bila kushikilia funguo zake, kwa hivyo ulinzi wa ndani bado unaishia kwa B.

Wakati huo kiungo cha juu cha mteja hubeba tabaka mbili, ilhali njia kati ya A na B hubeba moja. A huona anwani za nje za handaki la ndani, jambo linalotosha kujua kwamba trafiki ipo na takriban inakoelekea, na halitoshi kusoma mzigo. Hiyo ndiyo tofauti yote na kisa cha mfululizo, na hakuna kihesabu cha mikato kinachoionyesha. Kinachoweza kufanya A bado ni kukataa kupeleka kile isichoweza kusoma, na hilo linapatikana kila wakati kwa mwendeshaji wa lango hilo.

Kupachika kunalipa kwa sifa hiyo. Kila tabaka huongeza gharama ya kichwa, kwa hivyo upangaji wa MTU na MSS unakuwa lazima na si mpangilio tu, na njia inayofanya kazi kwa tabaka moja inaweza kudondosha pakiti kubwa kwa utulivu ikiwa na mbili. Kila tabaka linahitaji pia tabia yake ya kuunganisha upya na kuweka hai, na hitilafu katika tabaka moja huonekana kama kukatika kwa sehemu kupitia lingine.

Chora watazamaji, si handaki pekee

Handaki ni sehemu rahisi ya mchoro. Watazamaji ndio lengo la muundo, kwa hivyo andika mstari mmoja kwa kila mtazamo na ujaze kile ambacho kila mmoja anaweza kusoma kweli.

Mistari miwili huchanganywa kila mara: mwendeshaji wa A na mtoa huduma wa handaki la mteja. Wanaweza kuwa taasisi moja, na majina tofauti ya lango hayawafanyi kuwa huru. Umiliki huru unahitaji udhibiti tofauti wa kiutawala, vitambulisho tofauti na urekodi tofauti.

Metadata huishi katika miundo yote miwili. Muda, ukubwa wa pakiti na idadi ya miunganisho hubaki vionekanavyo kwenye kila mkato, kwa hivyo mikato miwili huongeza gharama ya uwiano badala ya kuondoa ishara. Muundo unaoahidi kutoshikika unapaswa kuangaliwa dhidi ya orodha hiyo kabla ya mtu yeyote kuutegemea.

Pitia njia za kushindwa kabla ya kuchagua

Vunja vitu kwa makusudi kutoka kwa mteja, kwa mpangilio ambao mtumiaji angekutana nao. Anza na kiolesura na MTU yake, kwa sababu kupachika hushindwa kwa ukubwa wa pakiti mapema sana kabla ya kushindwa kwa uthibitishaji.

ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1

Kisha thibitisha vituo vya mwisho vya ulinzi badala ya kuvidhania. Omba huduma itoe cheti chake kutoka ndani ya handaki lolote lililo hai, na linganisha mnyororo ambao mteja anauona na mnyororo ambao huduma inawasilisha kweli. Lango linalotia sahihi upya au linalonasa hubadilisha cheti hicho, na ukaguzi huwa wazi kwa amri moja.

openssl s_client -connect intranet.example.com:443 -brief < /dev/null

Maliza na matriki ya kuunganisha upya: handaki la mteja huanguka, handaki la B huanguka, njia kati ya A na B hubadilika. Andika kinachorudi na kisichorudi, na ikiwa muunganisho wa ndani huangukia njia nje ya mtoa wake aliyekusudiwa. Rekodi anwani ambazo kila jaribio lilitumia, kwa sababu kulirudia kwenye mtandao mwingine wa ufikiaji hujibu swali lingine. Rudia pia jaribio la MTU baada ya kila kuunganisha upya, kwa sababu njia iliyobadilika inaweza kupunguza ukubwa unaotumika bila mstari mmoja wa usanidi kusogea.

Chagua mfululizo wakati A lazima itumie sera kwenye pakiti ya ndani, au wakati mteja hawezi kuendesha handaki mbili zilizopangwa. Chagua kupachika wakati mzigo wa ndani lazima ubaki usiosomeka kwa A. Andika chaguo pamoja na watazamaji wake na namba zake za MTU, na mtu anayefuata hatahitaji kuchora upya picha nzima ili kujibu swali moja.