Ni nani anayejibu kwa kweli kwenye anwani maalum ya VPN?

Anwani inayokaa bila kutumika katika mgao wa shirika si msikilizaji, na kuiongeza kwenye kizuizi cha moto hakuundi hata moja. Kuna kitu lazima kimalize IKE kwenye anwani hiyo, na utaratibu hutofautiana kulingana na kama lango linaimiliki anwani au kifaa cha juu kinaitafsiri. Njia ya pakiti ndiyo inayotofautisha hivyo viwili, na ndiyo inayoamua ni kipengele kipi cha jukwaa unachohitaji kabla ya mtu kufungua ombi la mabadiliko. Fanya mfano wa njia kwanza, kisha chagua.

Njia ya pakiti nyuma ya anwani

Mwenzake hutuma IKE kwenye anwani aliyopewa, kwa UDP 500 au kwa UDP 4500 wakati upitishaji wa NAT unahusika. Kifaa chochote kinachoshikilia anwani hiyo kwenye njia ama hupokea datagram kwa ndani na kuijibu, au huipitisha mahali pengine. Hizi ni njia mbili pekee, na kila kitu kingine katika makala hii kinatokana na lipi lililo kweli.

Kupokea kwa ndani kunamaanisha kuwa kuna soketi kwenye kifaa hicho, iliyofungwa kwa anwani hiyo. Kupitisha kunamaanisha kuwa datagram huandikwa upya na kutumwa mbele hadi mwisho mwingine, ambao wakati huo unakuwa na soketi. Kanuni ya kizuizi cha moto inayoruhusu UDP 500 haikwambii chochote kuhusu lipi kati ya hayo mawili linafanyika.

Andika rekodi kabla ya kugusa chochote: anwani ambayo wenzako huwasiliana nayo, jinsi mtandao wa juu unaiwasilisha, kiolesura cha ndani au sehemu ya mwisho ya kimantiki inayoipokea, na mchakato unaojibu IKE. Mistari minne, na kila mmoja unaweza kukaguliwa. Wakati mmoja wao haujulikani, hicho kisichojulikana ni kazi ya usanifu na si maelezo ya utekelezaji ya kuamuliwa baadaye. Kuzijaza baada ya ombi la mabadiliko kupitishwa ndiyo njia ambayo kanuni ya tafsiri huongezwa kwenye kifaa kisichofaa.

Mfano A: lango linamiliki anwani

Katika mfano wa kwanza lango hushikilia anwani yenyewe, ama kama anwani ya pili kwenye kiolesura kilichopo, kama anwani kwenye kiolesura maalum, au kama loopback ambayo jukwaa huunga mkono kama sehemu ya mwisho ya handaki. Hizi ni sifa tatu tofauti zenye njia tatu tofauti za usanidi, na jukwaa linalounga mkono moja huenda lisaliunga mkono mengine.

Thibitisha kuwa jukwaa na toleo zinaunga mkono mpangilio huu hasa kabla ya kusanifu kulizunguka. Kizuizi kilichoelekezwa, anwani ya ziada kwenye kiolesura na sehemu ya mwisho ya loopback haziwezi kubadilishana, na nyaraka za toleo moja haziahidi kuwa linalofuata litafanya vivyo hivyo.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Soketi inayosikiliza ndiyo uthibitisho. Ikiwa hakuna kilichofungwa kwenye anwani, lango si mmalizaji chochote jedwali la uelekezaji linasema, na ukamataji wa pakiti utaonyesha datagram zikija bila kitu chochote kuzijibu.

Usiweke kiolesura cha pili katika subnet iliyopo tayari mahali pengine katika topolojia na usidhani jukwaa litalitatua. Subnet za kiolesura zinazopishana huzalisha uchaguzi wa chanzo usioeleweka na, kwenye majukwaa mengi, kukataa kabisa kusanidiwa.

Mfano B: kifaa cha juu kinaitafsiri

Katika mfano wa pili kizuizi cha moto cha juu hushikilia anwani maalum na hupitisha trafiki hadi lango lingine la VPN. Hiyo ni tafsiri ya lengwa yenye njia ya kurudi, na ni usanifu halali kabisa mradi umeandikwa hivyo.

Isivyo, ni uthibitisho kwamba kifaa cha juu kimepata soketi ya VPN ya ndani. Tafsiri hupitisha pakiti; haifanyi sanduku la juu kuwa mjibu wa IKE. Ikiwa kanuni ya juu itaondolewa au njia yake ya kurudi itavunjika, VPN inasimama ingawa lango ni zuri na wasikilizaji wake wenyewe hawajaguzwa.

Rekodi anwani zote mbili: ile ambayo wenzako huwasiliana nayo na ile ambayo lango huiona kwa kweli. Kisha rekodi usafirishaji na njia ya kurudi, kwa sababu tafsiri inayofanya kazi kwa UDP 500 lakini si kwa ESP iliyofungwa itaunganisha na kisha kushindwa kubeba trafiki, ambayo ni hitilafu ya kutatanisha kurekebisha baadaye.

Utambulisho si anwani ya nje

IPsec hutenganisha sehemu ya mwisho ya handaki na trafiki inayoilinda, na usanifu hushikilia maamuzi hayo mahali tofauti. Kubadilisha anwani ambayo wenzako huwasiliana nayo hakubadilishi kiotomatiki ni viambishi gani vya ndani vinaruhusiwa, ni njia gani zinasakinishwa au ni rasilimali gani kikao kinaweza kufikia.

Utambulisho uliothibitishwa ni tofauti tena. IKEv2 hubeba mzigo wa utambulisho na mabadilishano ya uthibitishaji ambayo hayahitaji kuendana na anwani ya pakiti ya nje, na ndiyo sababu usanifu uliotafsiriwa bado unaweza kuthibitisha vizuri.

Uhuru huo ni muhimu na pia ni mtego. Majina mawili ya DNS yanayotatuliwa kwa msikilizaji mmoja wa kawaida hayachagui backend tofauti za VPN, na cheti kinachotaja utambulisho mmoja hakitamridhisha mwenzako anayetarajia mwingine. Thibitisha kile mwenzako anachothibitisha kabla ya kudhani kuwa anwani pekee ndiyo inaamua hilo.

Kubali usanifu kwa kuangalia muunganisho mmoja

Kagua mahali muunganisho mpya ulioidhinishwa unapelekwa kwa kweli, ni utambulisho upi unaojibu, na ni mtiririko upi wa kibinafsi unaoruhusiwa baadaye. Uchunguzi tatu, tabaka tatu tofauti, na utafutaji wa umma uliofanikiwa wa anwani hautajaribu hata mmoja wao.

Shikilia pia kisa hasi: mwenzako asiyepaswa kukubaliwa, au kiambishi cha ndani kisichopaswa kufikiwa, kilichothibitishwa baada ya mabadiliko. Rekodi uliyoandika mwanzoni ndiyo inayowezesha jaribio hilo bila kujenga upya usanifu kutoka kwa kumbukumbu.

Lengo la haya yote ni kumruhusu mmiliki wa mtandao kuchagua mbinu ya mgao inayoungwa mkono badala ya kutegemea dai la jumla kuhusu kile kila kizuizi cha moto kinaweza kufanya na anwani ya ziada. Dai hilo ndilo mahali ambapo usanifu huu unakosea, kwa sababu linasikika kwa uhakika kwenye kila jukwaa na kwa ujumla si kweli kwa lolote. Rekodi ya mistari minne huamua hilo kwa jukwaa lako katika dakika kumi.