வழி அடிப்படையிலான vs கொள்கை அடிப்படையிலான தளம்-க்கு-தளம் VPN: என்ன வேறுபடுகிறது
கொள்கை அடிப்படையிலான IPsec தேர்வியால் போக்குவரத்தைத் தேர்ந்தெடுக்கிறது; வழி அடிப்படையிலானது அதை சுரங்கப்பாதை இடைமுகம் வழியாக அனுப்புகிறது. இரண்டிற்கும் இன்னும் தீவுசுவர் விதிகள் மற்றும் திரும்பும் வழி தேவை.
இரண்டு வடிவமைப்புகளும் ஒரே போக்குவரத்தை ஒரே IPsec இயந்திரத்தால் பாதுகாக்கின்றன, மேலும் எந்தப் பொதி சுரங்கப்பாதைக்குள் நுழைகிறது என்பதை எது தீர்மானிக்கிறது என்பதில் அவை வேறுபடுகின்றன. கொள்கை அடிப்படையிலான இணைப்பில் பேச்சுவார்த்தை செய்யப்பட்ட போக்குவரத்து தேர்விகள் அந்த வேலையைச் செய்கின்றன; வழி அடிப்படையிலான இணைப்பில் சுரங்கப்பாதை இடைமுகத்தை நோக்கும் ஒரு வழி அதைச் செய்கிறது. இரண்டையும் கலப்பது, சுரங்கப்பாதை தன்னை நிறுவப்பட்டதாகத் தெரிவிக்கும் ஆனால் பயன்பாடு எதையும் அடையாத பரிச்சயமான ஆதரவு உரையாடலை உருவாக்குகிறது. நீங்கள் வலையமைப்பைச் சேர்க்கும்போது, வழிகாட்டல் நெறிமுறையை இயக்கும்போது அல்லது தவறான வெளியேற்றத்தின் வழியாக அமைதியாக வெளியேறும் பாதையை பிழைதிருத்தும்போது இந்த வேறுபாடு மிக முக்கியமானது.
சுரங்கப்பாதைக்குள் என்ன நுழைகிறது என்பதை முடிவு செய்யும் இரண்டு வழிகள்
கொள்கை அடிப்படையிலான VPN மூல மற்றும் இலக்கு முன்னொட்டுகளுடன் பொருந்தும் பாதுகாப்புக் கொள்கையை உருவாக்கி, பின்னர் பொருந்துவதை மறையாக்குகிறது. சகாவுக்கு இணக்கமான தேர்விகளைப் பேச்சுவார்த்தை செய்ய வேண்டும், எனவே பயனுள்ள எல்லை இறுதியில் இரு தரப்பும் முன்மொழிந்ததின் வெட்டுவெளியாக மாறுகிறது. அந்த வெட்டுவெளிக்கு வெளியே எதுவும் பாதுகாக்கப்படவில்லை, வழிகாட்டல் அட்டவணை என்ன சொன்னாலும்.
வழி அடிப்படையிலான VPN சுரங்கப்பாதையைக் குறிக்கும் இடைமுகத்தை உருவாக்கி வழிகாட்டல் அட்டவணை அதற்குள் போக்குவரத்தை அனுப்ப அனுமதிக்கிறது. IKE டீமன் இன்னும் நிலை மற்றும் ஒவ்வொரு இடைமுகத்தின் கொள்கையை நிறுவுகிறது, மேலும் வழிகள் மறையாக்கத்தை மாற்றிவிட்டன என்று முடிவெடுக்கும்போது மக்கள் தவிர்க்கும் விவரம் அதுவே. இரண்டு வடிவமைப்புகளும் IPsec மூலம் மறையாக்குகின்றன; தேர்வு முறைமை மட்டுமே வேறுபடுகிறது.
கீழே உள்ள ஒப்பீட்டை மதிப்பெண் பலகையாக அல்ல, தோல்வி அறிகுறிகளின் தொகுப்பாகப் படியுங்கள், ஏனெனில் எந்த நிரலும் தானாக வெற்றிபெறாது.
| Aspect | Policy-based | Route-based |
|---|---|---|
| What selects traffic | Negotiated selectors | A route into the tunnel interface |
| Adding a network | Edit selectors on both peers | Add a route, widen the selector once |
| Dynamic routing | Awkward to run over the tunnel | Runs over the interface directly |
| Typical failure | Tunnel up, host outside the selector | Tunnel up, no route or wrong source |
கொள்கை அடிப்படையிலானது: தேர்வி என்பது ஒப்பந்தம்
தேர்விகள் பேச்சுவார்த்தை செய்யப்படுகின்றன, வெறுமனே கட்டமைக்கப்படுவதில்லை. ஒரு பக்கத்தில் 10.10.0.0/16 மற்றும் மறுபக்கத்தில் 10.10.1.0/24 முன்மொழியுங்கள், அப்போது சங்கம் பேச்சுவார்த்தை நின்ற இடத்தை உள்ளடக்கும், மற்ற ஒவ்வொரு புரவலனும் வெளியே இருக்கும்.
கட்டமைப்பு கோப்புக்குப் பதிலாக நிறுவப்பட்ட நிலையைப் படியுங்கள். Linux சகாவில் கர்னலின் சொந்த அட்டவணைகளே அடிப்படை உண்மை, அவை பேச்சுவார்த்தையிலிருந்து எது தப்பியது என்பதைக் காட்டுகின்றன. சரியான முன்னொட்டுகளைப் பெயரிட்டு பொருந்தும் நிலை இல்லாத கொள்கை என்பது சங்கம் ஒருபோதும் எழவில்லை என்பதாகும். தவறான முன்னொட்டுக்கான கொள்கையுடன் இணைந்த நிலை எதிர்மறை பிரச்சினை, அது ஆரோக்கியமாகத் தோன்றும் சுரங்கப்பாதையை உருவாக்குகிறது ஆனால் ஒரு துணை வலையமைப்பு எதையும் அடையவில்லை.
sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sasநீங்கள் பாதுகாப்பதாக நினைக்கும் முன்னொட்டுகளுடன் இரு வெளியீடுகளையும் ஒப்பிடுங்கள். அந்த ஒரே ஒப்பீடு இயங்கும் சுரங்கப்பாதை மற்றும் அணுகமுடியாத சேவையகம் பற்றிய பெரும்பாலான புகார்களைத் தீர்க்கிறது. எந்த சகாவை மாற்ற வேண்டும் என்பதையும் அது காட்டுகிறது, ஏனெனில் பொருந்தாமை பொதுவாக ஒரு திசையில் மட்டுமே தெரியும்.
வழி அடிப்படையிலானது: இடைமுகம் என்பது ஒப்பந்தம்
XFRM இடைமுகம் சுரங்கப்பாதைக்கு பெயரும் அடையாளமும் தருகிறது, வழிகாட்டல் அட்டவணை அவ்வாறு சொல்வதால் போக்குவரத்து அதை அடைகிறது. பல தொலை முன்னொட்டுகள் அப்போது தேர்வி பிரச்சினையாக அல்லாமல் வழிகாட்டல் பிரச்சினையாக மாறுகின்றன, மேலும் வழிகாட்டல் நெறிமுறை அவற்றை அறிவிக்க முடியும். அதுதான் உண்மையான பயன், மறையாக்கம் அல்ல.
இடைமுகம் கொள்கையின் தேவையை நீக்காது. டீமன் இடைமுகத்தின் அடையாளத்துடன் பிணைந்த விதிகளை ஒவ்வொரு இடைமுகத்திற்கும் நிறுவுகிறது, எனவே தவறான இடைமுகத்திற்கு வரும் பொதி இன்னும் தோல்வியடைகிறது. சகா ஏற்காத மூல முகவரியும் சரியான வழி இருந்தாலும் தோல்வியடைகிறது. வழி அடிப்படையிலானது என்பது நுழைவை வழி தீர்மானிக்கிறது என்பதே, கொள்கை மறைந்துவிட்டது என்று அல்ல.
sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10வழி அமைந்த பிறகு இடைமுக கணக்கிகளைக் கவனியுங்கள். வழி இருக்கிறது ஆனால் கணக்கிகள் பூஜ்ஜியத்திலேயே நிற்கின்றன என்றால் சுரங்கப்பாதைக்குள் எதுவும் பொருத்தப்படவில்லை, இது பொதுவாக இல்லாத வழியை விட இல்லாத நிலையைக் குறிக்கிறது.
இந்த இரண்டு வடிவமைப்புகள் உண்மையில் பிரியும் இடம்
வலையமைப்பைச் சேர்ப்பது எந்த மாதிரி உங்களுக்குப் பொருந்துகிறது என்பதற்கான தூய்மையான சோதனை. வழி அடிப்படையிலான வடிவமைப்பு ஒரு வழியைச் சேர்த்து அதிகபட்சம் ஒருமுறை தேர்வியை விரிவாக்குகிறது, கொள்கை அடிப்படையிலான வடிவமைப்பு இரு சகாக்களிலும் முன்னொட்டு இணைகளைத் திருத்தி மீண்டும் பேச்சுவார்த்தை நடத்துகிறது. இரண்டு நிலையான துணை வலையமைப்புகள் அந்தத் திருத்தத்தை அற்பமாக்குகின்றன, இருபது அதை ஒரு திட்டமாக்குகின்றன.
எந்த மாதிரியும் தீவுசுவரை மாற்றாது, ஒப்பீடுகள் பொதுவாக இந்தப் புள்ளிக்கு முன்பே நிற்கின்றன. அகலமான தேர்வி அல்லது அகலமான வழி எது மறையாக்கப்படுகிறது என்பதைத் தீர்மானிக்கிறது, எது அனுமதிக்கப்படுகிறது என்பதை அல்ல.
MTU நடத்தையும் நடைமுறையில் வேறுபடுகிறது. உறைப்பொதிவு பயன்படுத்தக்கூடிய சுமையைக் குறைக்கிறது, வழி அடிப்படையிலான இடைமுகம் அதன் சொந்த MTU-ஐ சுமக்கிறது, எனவே இரு நுழைவாயில்களிலும் MSS இறுக்குவது சிறிய பதில்கள் வந்து பெரியவை மறையும் கருங்குழி அறிகுறியைத் தவிர்க்கிறது. கொள்கை அடிப்படையிலான சுரங்கப்பாதைகள் மறுபக்கத்திலிருந்து அதே சுவரைச் சந்திக்கின்றன, ஏனெனில் தேர்வி பொதியின் அளவைப் பற்றி எதுவும் சொல்லாது. சகாவைக் குறை சொல்வதற்குப் பதிலாக இறுக்கத்தை வேண்டுமென்றே அமைக்கவும்.
திரும்பும் பாதையை இழக்காமல் இடம்பெயர்வு
எதையும் மாற்றுவதற்கு முன் தற்போதுள்ள முன்னொட்டு இணைகளைப் பதிவு செய்யுங்கள், பின்னர் ஒரு பயன்பாட்டுப் பாதையை நகர்த்தி அதை முதல் முதல் இறுதி வரை கவனியுங்கள். நிறுவப்படும் சுரங்கப்பாதை அனுப்பும் சுரங்கப்பாதை அல்ல, வேறுபாடு பதிலின் திசையில் தோன்றுகிறது.
சகாக்கள் இணைக்கப்படும்போது ஆனால் LAN புரவலர்கள் முடியாதபோது, திரும்பும் வழி மற்றும் தொலை புரவலன் பயன்படுத்தும் மூல முகவரியைச் சரிபார்க்கவும். இரண்டு இடைமுகங்கள் கொண்ட புரவலன் தவறான ஒன்றிலிருந்து பதிலளிக்கலாம், எந்த தேர்வி மாற்றமும் அதைச் சரிசெய்யாது. படிமுறைகளைத் திருத்துவதற்கு முன் இரு முனைகளிலும் போக்குவரத்தைப் பிடிக்கவும்.
ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-connsவேலை செய்யும் போது சுரங்கப்பாதையைச் சார்ந்திராத நிர்வாகப் பாதையை வைத்திருங்கள். நீங்கள் பிழைதிருத்தும் இணைப்பில் நுழைவாயிலின் சொந்த அணுகல் ஏறவில்லை என்றால் பின்னால் திரும்புவது எளிது.