L2TP, GRE அல்லது IPsec: அமர்வை எந்த அடுக்கு சுமக்க வேண்டும்?
L2TP PPP அமர்வுகளைச் சுமக்கிறது, GRE வழிமாற்றப்பட்ட பாக்கெட்டுகளை, IPsec தேர்ந்தெடுக்கப்பட்ட போக்குவரத்தைப் பாதுகாக்கிறது. ஒவ்வொரு அடுக்குக்கும் ஒரு பணியைக் கொடுத்து, பின்னர் ஒவ்வொன்றையும் தனித்தனியாகச் சரிபார்க்கவும்.
ஒரே வடிவமைப்புக் குறிப்பில் L2TP, GRE மற்றும் IPsec சேர்ந்துவரும்போதெல்லாம் இரண்டு கேள்விகள் சிக்கலாகின்றன: நான் எந்த அமர்வைச் சுமக்கிறேன், அதை எந்த அடுக்கு பாதுகாக்கிறது? முதலாவது தவறாக இருந்தால், கீழே உள்ள அனைத்தும் உள்ரீதியாக ஒத்திசைவாகவே இருக்கும், ஆனால் தவறான பிரச்சினையைத் தீர்க்கும் — பயனர்கள் உள்நுழைய வேண்டிய இடத்தில் கட்டப்பட்ட வழிமாற்றப்பட்ட மேலடுக்கு, அல்லது தளம்-க்கு-தளம் நுழைவாயிலுக்குப் பதிலாக நிற்கும் உள்நுழைவு மையம். கீழேயுள்ள பணித்தாள் யாரும் சாதனத்தில் உள்நுழைவதற்கு முன்பே இந்த வேறுபாட்டை வலியுறுத்துகிறது. அதை வரிசையாக நிரப்புங்கள், ஒவ்வொரு வரியும் நீங்கள் தனியாகச் சோதிக்கக்கூடிய ஒன்றாக மாறும்.
நெறிமுறைப் பட்டியலிலிருந்து அல்ல, அமர்விலிருந்து தொடங்குங்கள்
PPP அமர்வை வைத்திருக்கும் தொலை பயனர் மற்றும் இரண்டு நுழைவாயில்களுக்கு இடையிலான வழிமாற்றப்பட்ட மேலடுக்கு இரண்டும் இறுதியில் IPsec-ல் சுற்றப்பட்டாலும் வெவ்வேறு வலையமைப்பு உறவுகள். முதலாவது ஒவ்வொரு பயனரின் இணைப்பையும் முடிக்கிறது, முகவரி ஒதுக்கீடு, நபர் அல்லது சாதனத்தின் அங்கீகாரம், அந்தப் பயனர் எந்த உள் வலையமைப்புகளை அடையலாம் என்பதைக் குறிக்கும் கொள்கை ஆகியவை தேவை. இரண்டாவது யாரும் உள்நுழையாத தளங்களுக்கு இடையே பாக்கெட்டுகளை முன்னனுப்புகிறது.
இரண்டில் எதைக் கட்டுகிறீர்கள் என்பதைக் குறிக்கும் ஒரு வாக்கியம் எழுதுங்கள், பின்னர் அதை இயக்க வேண்டிய நபர் நீங்களே என்பது போல மீண்டும் படியுங்கள். வாக்கியத்திற்கு «மற்றும்» என்ற சொல் தேவைப்பட்டால், நீங்கள் இரண்டையும் கட்டுகிறீர்கள், பணித்தாளுக்கு ஒவ்வொன்றுக்கும் பாதி சேவை செய்யும் ஒரு சமரச நிரலுக்குப் பதிலாக இரண்டு நிரல்கள் தேவை. அது பயனரைக் குறித்தாலும் முகவரிக் குளம் இல்லாவிட்டால், அல்லது முன்னொட்டைக் குறித்தாலும் முன்னனுப்பு கொள்கை இல்லாவிட்டால், வாக்கியம் இன்னும் முழுமையடையவில்லை. சொற்கட்டு அதிகாரத்துவமாகத் தெரிகிறது, ஆனால் இல்லாவிட்டால் உதவி மேசை பயணச்சீட்டின் மூலம் கண்டறியப்படும் வடிவமைப்பைப் பிடிக்க மிக மலிவான இடம் இதுவே.
ஒவ்வொரு அடுக்குக்கும் சரியாக ஒரு பணியைக் கொடுங்கள்
L2TPv2 அதன் இரண்டு முனைப் புள்ளிகளுக்கு இடையே PPP அமர்வுகளைச் சுமக்கிறது. PPP இணைப்புப் பேச்சுவார்த்தையையும், அது பேசப்பட்டபின் பயனர் அங்கீகாரத்தையும் நடத்துகிறது; L2TP எந்த மறையாக்கத்தையும் சேர்க்கவில்லை, எனவே வெறும் L2TP டீமான் IPsec பாதுகாப்பு உறவின் எந்தப் பகுதியையும் செயல்படுத்தாது, நீங்கள் ஏற்கனவே நம்பும் இணைப்புக்குள் மட்டுமே இருக்கும்.
GRE என்பது இரண்டு முகவரிகளுக்கு இடையிலான மூடுகை. இது வலையமைப்பு அடுக்குப் பாக்கெட்டுகளை ஒரு தர்க்கரீதியான மேலடுக்கு வழியாகச் சுமக்கிறது, தனியாக இரகசியத்தன்மையையோ அங்கீகரிக்கப்பட்ட கூட்டாளி அடையாளத்தையோ வழங்காது. இது குறைபாடு அல்ல: தலைப்பு எளிமையாக வடிவமைக்கப்பட்டது, அதனால் முன்னனுப்பு வன்பொருளில் செயலாக்கம் மலிவாக இருக்கும். விளைவு என்னவென்றால், GRE இந்தப் பாக்கெட்டை இரண்டு முகவரிகளுக்கு இடையே எப்படி நகர்த்துவது என்ற கேள்விக்கு மட்டுமே பதிலளிக்கிறது, வேறு எதற்கும் அல்ல, அதையே நீங்கள் அதைக் கேட்க வேண்டிய கேள்வி.
பின்னர் IPsec போக்குவரத்தைத் தேர்ந்தெடுக்கும், கூட்டாளிகளை அங்கீகரிக்கும், பாதுகாக்கச் சொன்னதை மறையாக்கம் செய்யும் அடுக்காக எஞ்சுகிறது. எந்தப் போக்குவரத்தைப் பாதுகாக்கிறது என்பது கட்டமைப்பு முடிவு, அது முனைப் புள்ளிகள் உண்மையில் உருவாக்கும் மூடுகையுடன் பொருந்த வேண்டும், ஏனெனில் GRE வெளி முகவரிக்காக எழுதப்பட்ட கொள்கை உள் முன்னொட்டுகளுக்காக எழுதப்பட்டதிலிருந்து வேறுபட்டு நடக்கிறது. GRE விவரக்குறிப்பு சுமையையும், GRE தலைப்பையும், வெளி விநியோக நெறிமுறையையும் தெளிவாகப் பிரித்து வைக்கிறது, உங்கள் கொள்கைக்கும் அதே பிரிவு தேவை.
| Layer | Its one job | What it never does |
|---|---|---|
| PPP | Link negotiation, optional user authentication, address assignment | Protect traffic between gateways |
| L2TPv2 | Carry the PPP session between two endpoints | Encrypt or authenticate peers |
| GRE | Encapsulate network-layer packets between two addresses | Hide or authenticate the payload |
| IPsec | Authenticate peers and encrypt selected traffic | Carry a dial-in user session by itself |
கட்டமைப்புக்கு முன் பாக்கெட் பாதையை எழுதுங்கள்
ஒரு பாக்கெட்டை எடுத்து, சேர்க்கப்படும் ஒவ்வொரு தலைப்பையும் சேர்க்கப்படும் வரிசையில் பட்டியலிடுங்கள், அதைச் சேர்க்கும் சாதனத்தைக் குறிப்பிடுங்கள். உள்நுழையும் பயனருக்கு இது பொதுவாக IPsec உள்ளே L2TP உள்ளே PPP; தள மேலடுக்குக்கு இது IPsec உள்ளே GRE உள்ளே உள் IP பாக்கெட். இரண்டு சாதனங்கள் ஒரே தலைப்பைச் சேர்த்தால், உங்களுக்கு ஒரு சுழற்சி அல்லது இரட்டைச் சுரங்கம் உள்ளது, எவ்வளவு கொள்கைத் திருத்தமும் அதைச் சரிசெய்யாது.
அதே பட்டியல் MTU-வைத் தீர்மானிக்கிறது, ஏனெனில் பயன்படுத்தக்கூடிய உள் அளவு என்பது அளந்த பாதையின் MTU-விலிருந்து நீங்கள் இப்போது பட்டியலிட்ட தலைப்புகளைக் கழித்தது, வேறு எதுவும் அல்ல. மன்ற இடுகையிலிருந்து எண்ணை நகலெடுக்காதீர்கள்: வெளி IP, UDP, ESP மேலதிகச் செலவு, பின்னர் GRE அல்லது L2TP, பின்னர் பொருந்தும் இடத்தில் PPP ஆகியவற்றைக் கூட்டி, நீங்கள் உண்மையில் அளந்த பாதையின் MTU-விலிருந்து கழிக்கவும். பெரிய பரிமாற்றங்களில் மட்டும் தோன்றும் அறிகுறிகள், அல்லது நிறுவப்பட்ட பின் முதல் பெரிய பதிலில் இறக்கும் அமர்வுகள், பொதுவாக அந்தக் கூட்டல் ஊகத்தில் செய்யப்பட்டதற்கே திரும்புகின்றன.
ஒவ்வொரு அடுக்கையும் தனித்தனியாக, வெளியிலிருந்து உள்ளே சரிபார்க்கவும்
சரிபார்ப்புகளை வரிசையாக இயக்கி முதல் தோல்வியில் நிறுத்துங்கள். ஒவ்வொரு வரியும் வேறு கேள்விக்குப் பதிலளிக்கிறது, எனவே தோல்வி சுரங்கம் உடைந்தது என்று சொல்வதற்குப் பதிலாக பணித்தாளின் ஒரு நிரலைச் சுட்டுகிறது.
ip xfrm state # is the IPsec SA up?
ip -s link show gre1 # does the overlay interface carry packets?
ip route get 10.20.0.5 # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500" # are the L2TP and NAT-T listeners bound?Cisco பெட்டியில் சமமானது பங்கைப் பொறுத்தது, சரியான இலக்கணம் தளம் மற்றும் வெளியீட்டைப் பொறுத்தது: IPsec கூட்டாளிகளுக்கு show crypto session, GRE அல்லது சுரங்க இடைமுகத்திற்கு இடைமுக எண்ணிகள், உள்நுழைவு பங்குக்கு VPDN அல்லது PPP சரிபார்ப்பு. PPP-ஐ முடிக்கும் கட்டளைத் தொகுப்பு GRE ஆதரவைப் பற்றி எதையும் நிரூபிக்காது, வேலை செய்யும் GRE இடைமுகம் PPP சேவையைப் பற்றி எதையும் நிரூபிக்காது, எனவே வரைபடத்தில் உள்ளதை அல்ல, நீங்கள் உண்மையில் கட்டமைத்த பங்கைச் சரிபார்க்கவும்.
ஒவ்வொரு வெளியீட்டையும் அது சார்ந்த பணித்தாள் வரிக்கு அருகில் பதிவு செய்யுங்கள். குறைபாடு செயலில் இருக்கும்போது எடுத்த குறிப்புகள், பின்னர் நினைவிலிருந்து மீண்டும் வரையப்பட்ட இடவியலை விட மதிப்புமிக்கவை.
பிரிக்கும் வரிசையை ஒழுங்குசெய்து, பின்னர் மீண்டும் சரிபார்க்கவும்
பிரிப்பு தலைகீழ் வரிசையில் செல்வதற்கு ஒரு காரணம் உள்ளது: பாதுகாக்கப்பட்ட போக்குவரத்தை IPsec கொள்கையிலிருந்து வெளியே எடுங்கள், அதற்காக எழுதப்பட்ட மூடுகையை அகற்றும் முன், இல்லையெனில் கொள்கை இனி இல்லாத இடைமுகத்தை நோக்கிக் காட்டிக்கொண்டே இருக்கும், அடுத்த கட்டமைப்பு ஏற்றுதல் தொடர்பில்லாததாகத் தோன்றும் இடத்தில் தோல்வியடையும். Linux-ல் இதன் பொருள் சுரங்க இடைமுகத்திற்கு முன் நிலை மற்றும் கொள்கைப் பதிவுகளை நீக்குவது; திசைவியில், சுரங்கத்திற்கு முன் கிரிப்டோ வரைபடத்தையோ சுயவிவரப் பதிவையோ அகற்றுவது.
மீள்கட்டுமானத்திற்குப் பின், ஏற்பு நான்கு கவனிப்புகளை ஒவ்வொன்றாக மீண்டும் செய்யுங்கள்: வெளி அணுகல், நிறுவப்பட்ட IPsec சங்கம், வடிவமைப்பு ஒன்றை உள்ளடக்கும் இடத்தில் நிறுவப்பட்ட PPP அமர்வு, மற்றும் உண்மையான இலக்கு முகவரிக்கு உள் முன்னனுப்பு. ஒரு பச்சை விளக்கு மற்ற மூன்றுக்குச் சான்று அல்ல, அந்த இடைவெளியே உற்பத்தியில் நீண்ட காலம் நிலைத்திருக்கும் தோல்வி — சுரங்கம் மேலே, மறையாக்கப்பட்டு, எதையும் முன்னனுப்பாமல், ஏனெனில் உள் வழி எப்போதும் சேர்க்கப்படவில்லை.
நிரப்பட்ட பணித்தாளைச் சாதனக் கட்டமைப்பின் அருகில் வைத்திருங்கள். நீங்கள் நிரப்ப முடியாத எந்த நிரலும் பணி ஒதுக்கப்படாத அடுக்கு, பணியில்லாத அடுக்கு பொதுவாக அடுக்கில் இருக்கக் கூடாத அடுக்கு.