Ni kifurushi kipi sera ya VPN ya WAN mbili inapaswa kukilinganisha nacho?

Maombi ya kuelekeza VPN kupitia kiungo cha pili cha juu yanaeleza angalau kazi mbili tofauti, na sera inayorekebisha moja haigusi nyingine. Katika kazi ya kwanza, usafirishaji uliosimbwa kati ya ncha mbili huhamia anwani nyingine ya WAN. Katika ya pili, mtiririko wa programu uliosimbuliwa wa mtumiaji aliyeunganishwa hutoka kuelekea hatua nyingine inayofuata. Zote mbili ni halali, zote mbili zinatumia uelekezaji, na kila moja inahitaji ulinganifu kwenye kifurushi kilichopo mahali ambapo uamuzi unafanywa. Pitia ukaguzi ulio hapa chini kwa mpangilio, kwa sababu wa kwanza huamua ni kifurushi kipi ambacho sheria za baadaye zinapaswa kutaja.

Taja mazungumzo mawili

Fikiria mfanyakazi wa mbali aliyeunganishwa na lango la ofisi, akifungua HTTPS kuelekea seva ya ndani ya programu. Kuna mazungumzo mawili huru kwenye waya, na yana anwani tofauti kila ncha. Mazungumzo ya nje yanaenda kati ya ncha mbili za VPN: kutoka anwani ya lango hadi anwani ya mwenza, kwa itifaki na bandari ambazo usambazaji ulikubaliana. Mazungumzo ya ndani yanaenda kutoka anwani iliyopewa mteja hadi anwani ya seva ya programu kwenye bandari 443.

Bandari ya mwisho ya programu si bandari ya usafirishaji ya VPN, na hakuna kiasi cha sera kwenye TCP 443 kitakachosogeza handaki. Vilevile, sheria inayoelekeza upya anwani ya usafirishaji ya mwenza haisemi chochote kuhusu ombi la HTTP la mtumiaji huyo linakwenda wapi baada ya kusimbuliwa. Andika mazungumzo yote mawili pamoja na anwani zao halisi kabla ya kugusa sheria, kwa sababu mkanganyiko mwingi katika eneo hili unatokana na kutaja moja na kusanidi nyingine.

Tafuta mahali ambapo sera yako inaweza kweli kuona kifurushi

Ulinganifu lazima utathminiwe katika mnyororo na nafasi ya majina ambapo kifurushi bado kiko katika umbo uliloeleza. Sheria iliyounganishwa na kiingilio cha LAN huona kifurushi cha ndani bila kusimbwa, kabla ya kuelekezwa kwenye handaki. Sheria inayotumika kwa trafiki inayozalishwa ndani huona vifurushi ambavyo lango lenyewe huzalisha, na haifuniki kiotomatiki trafiki ambayo lango hupitisha tu. Pato lililofungashwa ni kesi nyingine ya tatu, kwa kawaida hushughulikiwa kwenye kiolesura kinachobeba handaki na si upande wa LAN.

Ndiyo sababu kipande kimoja cha usanidi hujiendesha tofauti kwenye majukwaa mawili: sehemu za kuunganisha zinatofautiana, na ndoano ya sera ya muuzaji inaweza kukaa kabla au baada ya hatua ya usimbaji. Soma njia ya kifurushi kwa bidhaa husika badala ya kudhani mpangilio kutoka kwenye mchoro wa muuzaji mwingine.

Thibitisha usafirishaji uliokubaliana

Kwa IPsec iliyofungashwa kwenye UDP, RFC 3948 huweka ESP ndani ya UDP na hutumia alama isiyo ESP ili IKE ibaki ikitofautishwa kwenye bandari inayoshirikiwa. ESP ya kawaida ni itifaki ya IP, si bandari ya TCP au UDP, kwa hivyo sheria ya ngome ya moto iliyoandikwa kwa nambari ya bandari haitalingana nayo hata kidogo. Tofauti hii huamua kama sera yako ya WAN inahitaji sheria ya UDP, sheria ya itifaki, au zote mbili.

Thamani zilizokubaliwa hushinda zile zilizokumbukwa. Soma bandari na anwani za sasa za muungano kutoka kwenye kifaa badala ya kuongeza TCP 4500 au bandari ya zamani ya muuzaji kwa tahadhari, jambo ambalo hunasa trafiki isiyohusiana na kuficha tatizo halisi la uainishaji.

Kagua njia ya kurudi kabla ya kujitolea

Mafanikio ya kutoka huthibitisha nusu ya muundo. Kifurushi kinachorudi kuelekea dimbwi la wateja wa mbali hakionekani tena chini ya anwani ya mteja mara ufungashaji unapochukua nafasi yake: mwisho wa nje ni anwani ya usafirishaji ya mwenza. Ikiwa kiungo cha pili kinafikia mwenza huyo kupitia mtoa huduma tofauti, tafsiri na uchujaji wake vinaweza kutokubaliana na vya kwanza, na muungano unaweza kuhitaji kujengwa upya badala ya kuhamishwa.

Hali ya tafsiri ya anwani za mtandao ndiyo mwathirika wa kawaida wa mabadiliko ya WAN. Rekodi kiungo kilichochaguliwa, anwani ya nje ya chanzo inayotarajiwa, tafsiri inayotumika na ufikivu wa mwenza kurudi kwake, kisha uweke usafirishaji ufikikaji bila kuutuma ndani ya handaki unaoubeba.

Thibitisha tabaka zote mbili kwa ukamataji mbili

Ukamataji mmoja kwenye kiolesura cha WAN na mmoja ndani ya handaki hutatua swali haraka kuliko ulinganisho wowote wa usanidi. Zindua kutoka kwenye lango wakati mteja aliyeruhusiwa anafanya ombi moja, na uhifadhi faili zote mbili.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Ukamataji wa kwanza unapaswa kuonyesha mazungumzo ya nje yakiondoka kwenye kiolesura ulichokusudia, na anwani ya chanzo inayotarajiwa. Wa pili unapaswa kuonyesha mazungumzo ya ndani mara moja, bila kurudiwa, na anwani ya mteja kama chanzo na seva ya programu kama mwisho. Utafutaji wa njia huthibitisha ni jedwali gani kipanga njia kingetumia kwa jozi hiyo ya chanzo na mwisho, na hapo ndipo kosa la sera huonekana kwa kawaida. Ikiwa ukamataji wowote hauonekani, eneo la uamuzi liko mahali pengine na si pale sheria iliunganishwa, na marekebisho yanahusiana na hapo na si ulinganifu mpana zaidi.