Mahali VPN ya tovuti yako inapoishia huamua kile kinachokaguliwa

Kifaa kinachofungua usimbaji wa trafiki kati ya tovuti huamua kile ngome ya moto inaweza kukagua bado. Chora mpaka kwanza, kisha chagua rauta au ngome ya moto.

Handaki kati ya tovuti huficha undani mmoja unaoamua muundo wote wa ukaguzi: kifaa kamili ambapo pakiti ya ndani inaonekana kama maandishi wazi. Kila kitu kabla ya hatua hiyo kinaona ESP, na kila kitu baada yake kinaona IP ya kawaida ambayo sheria inaweza kuikamata. Weka mpaka mahali pasipo sahihi na ngome ya moto uliyolipia inakuwa rauta yenye leseni. Maelezo yafuatayo huchora mstari kwanza na kisha tu kuuliza kifaa kipi kinapaswa kumiliki.

Chora mstari mahali pakiti inapoacha kusimbwa

Katika hali ya handaki, pakiti asili husimbwa na kufungwa katika kichwa kipya cha nje cha IP kinachoelekezwa kwa lango jirani. Pakiti hiyo ya nje hubeba itifaki 50 kwa ESP, kwa hivyo kifaa chochote kati ya malango mawili kinaweza kuielekeza bila kusoma anwani za ndani. Kifaa cha kwanza kinachofungua usimbaji ni mpaka wa usalama, na pia ni kifaa cha kwanza kinachoweza kutumia sera kwa mtiririko wa ndani. Kila kitu chini ya hatua hiyo ni uelekezaji wa kawaida.

Weka alama tatu kwenye mchoro: sehemu ya mwisho ya nje inayokubali ESP, mitandao iliyolindwa inayotajwa katika sera, na hop inayofuata ambayo pakiti iliyofunguliwa inachukua. Ikiwa hizi tatu haziko kwenye kifaa kimoja, una makabidhiano yanayohitaji kubuniwa, si sehemu moja ya udhibiti.

RFC 4301 huiita kifaa kinachofungua usimbaji lango la usalama na huchukulia sera yake kama sehemu ya mpaka. Hii ni mfumo unaofaa zaidi kuliko aina ya bidhaa, kwa sababu kifaa ni mpaka kinaposhikilia sera, si kinaposema karatasi yake ya data ni ngome ya moto.

Ngome ya moto kama mwisho: kifaa kimoja, sehemu moja ya sera

Ngome ya moto inapomaliza handaki, rauta ya juu inahitaji tu kuifikisha ESP. Ngome ya moto huthibitisha mwenza, hufungua usimbaji, kisha hutumia sheria zake za kawaida kwa pakiti ya ndani ikielekea VLAN ya seva. Hii hutoa mahali pa kusoma sera na mahali pa kusoma kumbukumbu, ambayo ukaguzi kwa kawaida huomba.

Kagua ruhusa mbili kwa mbali. Kuruhusu IKE na ESP kuelekea kifaa si sheria moja na kuruhusu tovuti ya mbali kufikia seva, na ngome ya moto inayokubali handaki huku ikizuia mtiririko wa ndani inaonekana kutoka upande wa mbali kama handaki iliyovunjika kabisa.

Gharama ni kwamba ngome ya moto sasa iko kwenye njia ya trafiki yote ya tovuti, kwa hivyo upitishaji wake, mipaka ya vikao na tabia yake ya kubadilika inaposhindikana huwa tabia ya handaki yenyewe. Ipime kwa mitiririko ya tovuti iliyounganishwa, si kwa wasifu wa ufikiaji wa mbali ambao huenda ilinunuliwa kwa ajili yake.

Rauta kama mwisho: hop ya ukaguzi huwa ya hiari

Rauta inapofungua usimbaji, pakiti tayari iko wazi inapofikia jedwali la uelekezaji. Ikiwa ngome ya moto tofauti inapaswa kukagua trafiki hiyo, rauta lazima iitume kupitia ngome ya moto na njia ya kurudi lazima irudi kwa njia hiyo hiyo. Njia ya moja kwa moja kutoka rauta hadi VLAN ya seva huondoa ngome ya moto kwenye njia kimya kimya huku ikiiacha kwenye mchoro.

Hii ndiyo hitilafu ya kutafuta katika mtandao uliopo: njia mbili kuelekea kiambishi kimoja, moja kupitia ngome ya moto na moja ya moja kwa moja, na ya moja kwa moja ikishinda kwa urefu wa kiambishi au metrika. Handaki bado inapitisha trafiki na ukaguzi unaouamini haufanyiki.

Handaki zinazotegemea njia hufanya hili lionekane, kwa sababu handaki ni kiolesura unachoweza kuelekeza kupitia kifaa kingine. Handaki zinazotegemea sera huchagua trafiki kwa kichaguzi, jambo ambalo linaweza kuacha pakiti iliyofunguliwa kwenye rauta bila lengo lingine.

Uliza wagombea wote wawili maswali yale yale matano

Karatasi fupi ya kazi hushinda matriki ya vipengele, kwa sababu kila swali linaendana na mstari mmoja kwenye mchoro. Uliza kila mgombea:

  • Matoleo gani ya IKE, mbinu gani za uthibitishaji wa mwenza na mifano gani ya uelekezaji ambayo toleo hili linaunga mkono kweli?
  • ESP inakubaliwa wapi, na mtiririko uliofunguliwa unaruhusiwa au unakataliwa wapi?
  • Wenyeji wa ndani hujifunza vipi kiambishi cha mbali, na upande wa mbali hujifunza vipi vyako?
  • Upitishaji gani, idadi gani ya vikao na tabia gani ya kubadilika inaposhindikana inapaswa kuvumiliwa na sehemu ya mwisho kwa mzigo halisi?
  • Nani anamiliki vitambulisho vya mwenza, sera na njia ya kurejesha wakati handaki ndiyo kitu kilichovunjika?

pfSense huandika IPsec inayotegemea sera na inayotegemea njia kama mifano tofauti yenye vikwazo tofauti, na tofauti hii ni muhimu kuliko lebo kwenye sanduku. Kagua hali kamili na uchujaji unaoungwa mkono wa trafiki iliyofunguliwa katika toleo ambalo kweli utasambaza.

Ikiwa mgombea hawezi kujibu swali la pili kwa sheria unayoweza kuisoma, huo si mpaka unaoutaka, hata afanye vizuri kiasi gani mambo mengine. Omba maandishi ya sheria badala ya ndiyo, na chukulia jibu lisilo wazi kama hapana.

Thibitisha njia kwa kunasa, si kwa mchoro

Mchoro hueleza nia na kunasa hueleza tabia, kwa hivyo thibitisha kiolesura kipi hubeba ESP na kipi hubeba mtiririko wa ndani kabla ya kuamini chochote kati yao.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Ikiwa kunasa kwa kwanza kunaonyesha ESP inakuja na kwa pili kunaonyesha pakiti ya ndani upande wa LAN, sehemu ya ufunguzi wa usimbaji iko mahali unapofikiria. Ikiwa pakiti ya ndani inaonekana kwenye sehemu inayopita ngome ya moto, uelekezaji si sahihi, chochote kinachosema maandishi ya sera. Orodha ya xfrm kisha inaonyesha vichaguzi vipi vimewekwa na kwa mwelekeo upi.

Rudia kunasa kwenye njia ya kurudi, kwa sababu uelekezaji usio sawa ni wa kawaida wakati tovuti ina njia mbili za kutoka. Handaki inayofanya kazi upande mmoja na kuisha muda upande mwingine karibu kila mara ni hii, na hakuna uhariri wowote wa sera upande wa mbali unaoifanya sawa.

Makala zinazohusiana