தளம்-தளம் VPN-க்கு எதைப் பதிவு செய்ய வேண்டும்: செலெக்டர்களும் எல்லை வரம்பும்

ஒரு சுரங்கப்பாதை அமைந்து ஆறு மாதங்களுக்குப் பிறகு புதிய துணைவலை கொள்கையுடன் பொருந்துவதை நிறுத்துகிறது, பகிரப்பட்ட இயக்ககத்தில் உள்ள ஒரே ஆவணம் அலுவலக VPN என்று மட்டுமே சொல்கிறது. செலெக்டர் பதிவு தடுக்கும் தோல்வி அதுதான், அது துல்லியமானது: முகவரித் தொகுப்பு மாறியது, ஆவணங்கள் மாறவில்லை. பதிவைச் சரியாக எழுதுவது என்பது பல முகவரித் தொகுப்புகளில் நீங்கள் எதை விவரிக்கிறீர்கள் என்பதை அறிவது, நீங்கள் கட்டமைத்ததை அல்ல, மறுதரப்பு உண்மையில் செயல்படுத்துவதைப் பதிவு செய்வது.

கட்டமைத்தது ஒப்புக்கொள்ளப்பட்டது அல்ல

கொள்கை அடிப்படையிலான IPsec சுரங்கப்பாதையில் ஒவ்வொரு தரப்பும் போக்குவரத்து செலெக்டர்களை முன்மொழிகிறது: குழந்தை இணைப்புக்கான மூல மற்றும் இலக்க வரம்புகள். பதிலளிக்கும் தரப்பு அந்த முன்மொழிவைக் குறுகலாக்க அனுமதிக்கப்படுகிறது, எனவே நிறுவப்பட்ட இணைப்பு கட்டமைப்பில் பட்டியலிடப்பட்டதை விடக் குறைவாகவே மூடலாம். கட்டமைப்பை நகலெடுக்கும் பதிவு ஒரு நோக்கத்தை விவரிக்கிறது, தற்போதைய பாதுகாப்பு எல்லையை அல்ல. இரண்டும் அமைதியாக விலகுகின்றன, சுரங்கப்பாதை நிலைப் பக்கத்தில் அதைச் சுட்டிக்காட்ட எதுவும் இல்லை.

நீங்கள் கவனித்த தேதியுடன் இரு நெடுவரிசைகளையும் வைத்திருங்கள். கட்டமைக்கப்பட்ட செலெக்டர் நீங்கள் கருதியது; ஒப்புக்கொள்ளப்பட்டது கர்னல் இப்போது செயல்படுத்துவது. அவை வேறுபடும்போது, அந்த வேறுபாடு ஒரு வழித்தடப் பிழையை விட மிக அடிக்கடி எதிர்பாராத தோல்வியை விளக்குகிறது.

ஒரு இணைப்பு கட்டமைக்கப்பட்ட ஒவ்வொரு ஜோடியையும் பிரதிநிதித்துவப்படுத்தாது. பல செலெக்டர் சேர்க்கைகள் கொண்ட சுரங்கப்பாதை இறுதியில் பல குழந்தை இணைப்புகளைக் கொண்டிருக்கலாம், அவற்றில் ஒன்றை மட்டும் பட்டியலிடும் பதிவு முழுமையற்ற பட்டியல். சுருக்குவதற்குப் பதிலாக அவற்றை ஒவ்வொன்றாக எண்ணுங்கள்.

வழித்தட அடிப்படையிலான சுரங்கப்பாதைகள் வேறுவிதமாகத் தேர்ந்தெடுக்கின்றன

வழித்தட அடிப்படையிலான இடைமுகத்துடன், சுரங்கப்பாதைக்குள் எது நுழைகிறது என்பதை வழித்தட அட்டவணை தீர்மானிக்கிறது, செலெக்டர்கள் வேண்டுமென்றே பரந்ததாக இருக்கலாம். இது அலட்சியம் அல்ல, செல்லுபடியாகும் வடிவமைப்பு, பதிவு அதை அவ்வாறே விவரிக்க வேண்டும். வழித்தடம், அது சுட்டும் இடைமுகம், எந்தச் சேவைகள் அணுகக்கூடியவை என்பதை வரம்பிடும் ஃபயர்வால் கொள்கை ஆகியவற்றை எழுதுங்கள். பாதுகாப்பு எல்லை வேண்டுமென்றே பரந்தது, குறுகலாக்குவதைச் சேவை எல்லை செய்கிறது.

கொள்கை அடிப்படையிலான டெம்ப்ளேட்டை வழித்தட அடிப்படையிலான சுரங்கப்பாதையில் நகலெடுப்பது, வரிசைப்படுத்தல் பயன்படுத்தாத ஒரு பொறிமுறையை விவரிக்கும் ஆவணத்தை உருவாக்குகிறது. அடுத்த பொறியாளர் அங்கு ஒருபோதும் இருக்கக்கூடாத செலெக்டர்களைத் தேடி, சுரங்கப்பாதை தவறாகக் கட்டமைக்கப்பட்டுள்ளது என்று முடிவு செய்கிறார், உண்மையில் அது மோசமாகப் பதிவு செய்யப்பட்டிருந்தது மட்டுமே.

மாற்றீடு அதே அட்டவணையில் இடம் பெறுகிறது

NAT மறுதரப்புக்கு வேறு வரம்பை வழங்கும்போது, அசல் மற்றும் மாற்றப்பட்ட முன்னொட்டுகளை ஒன்றாகப் பதிவு செய்யுங்கள். செலெக்டர்களும் அணுகல் விதிகளும் எந்தக் கட்டத்தில் அவற்றுடன் பொருந்துகின்றன என்பதைக் குறிப்பிடுங்கள், ஏனெனில் வரிசையே தொலைத் தரப்பு நீங்கள் எழுதிய முகவரியை எப்போதாவது பார்க்குமா என்பதைத் தீர்மானிக்கிறது. இரு வரம்புகளில் ஒன்று மட்டும் உள்ள அட்டவணை அட்டவணையே இல்லாததை விட மோசம், அது முழுமையானதாகத் தெரிகிறது.

NAT மாற்றத்திற்குப் பிறகு வேலை செய்யும் சுரங்கப்பாதையை உடைக்கும் விவரம் இதுதான்: செலெக்டர் இன்னும் அசல் முன்னொட்டுடன் பொருந்துகிறது, மறுதரப்பு இப்போது மாற்றப்பட்ட ஒன்றைப் பெறுகிறது, அதன் திரும்பு வழித்தடம் இனி இல்லாத முகவரியைச் சுட்டுகிறது. இரண்டும் பொருந்துவதை நிறுத்தும் தருணத்தில் எதுவும் பிழையைப் பதிவு செய்யவில்லை.

தனியார் DNS அதே இடத்தில் இடம் பெறுகிறது. தொடர்புடைய தளத்திலிருந்து பயன்படுத்த முடியாத முகவரியாகத் தீர்க்கும் பெயர் என்பது ஆதரவுக் கோரிக்கை இணைக்கப்பட்ட ஆவணப் பிழை, குற்றம் சுரங்கப்பாதையின் மேல் சுமத்தப்படும்.

சேவைத் தேவையை இணைக்கவும்

பாதுகாக்கப்பட்ட வரம்பு அனுமதிப் பட்டியல் அல்ல. எந்தச் சேவைகள் எந்த மூலத்திலிருந்து அணுகக்கூடியதாக இருக்க வேண்டும், அவற்றின் பின்னால் உள்ள பயன்பாட்டின் உரிமையாளர் யார் என்பதை எழுதுங்கள். அந்த இரண்டு புலங்களும் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, அவற்றைக் கலப்பதால் பாதுகாப்பு மதிப்பாய்வு இறுதியில் அணுகலைப் பற்றி அல்ல, வழித்தடத்தைப் பற்றி வாதிடுகிறது.

பின்னர் இந்த விதியைப் பராமரிக்கும் வலையமைப்பு நிர்வாகியைப் பெயரிடுங்கள். உரிமையாளர் இல்லாத செலெக்டர் பட்டியல் அமைதியாகப் பழையதாகிறது, இரவு இரண்டு மணிக்கு சுரங்கப்பாதை உடையும்போது பழையதையும் தவறானதையும் வேறுபடுத்த முடியாது. மாற்றம் வேண்டுமென்றே செய்யப்பட்டது என்பதை உறுதிப்படுத்தக்கூடிய நபரும் உரிமையாளரே.

பதிவை ஒரு சோதனைத் திட்டமாக மாற்றுங்கள்

தேவையான ஒவ்வொரு பாதைக்கும் பிரதிநிதி மூல மற்றும் இலக்க புரவலனைத் தேர்ந்தெடுத்து, எதிர்பார்க்கப்படும் வழித்தடம், சேவை மற்றும் பதில் நுழைவாயில் ஆகியவற்றைக் குறிப்பிடுங்கள். இது ஆவணத்தை விவரிப்பிலிருந்து சோதனைத் திட்டமாக மாற்றுகிறது. கீழேயுள்ள கட்டளையால் செயலில் உள்ள இணைப்பைப் படித்து, நீங்கள் எழுதிய ஒப்புக்கொள்ளப்பட்ட வரியுடன் ஒப்பிடுங்கள்.

swanctl --list-sas

ஐந்து வரிகளைக் கொண்ட எலும்புக்கூடு பொதுவாகப் பதிவை நேர்மையாக வைத்திருக்கப் போதுமானது. கீழேயுள்ள பதிப்பு வெட்டப்படாமல் ஒரு மாற்றக் கோரிக்கையில் பொருந்துகிறது:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

நுழைவாயில் வரை மட்டும் பிங் செய்வது ஏற்புச் சோதனை அல்ல. அது போக்குவரத்துப் பாதையை ஒருபோதும் பயன்படுத்தாது, எனவே அனுப்பப்படும் ஒவ்வொரு ஓட்டமும் தோல்வியடையும்போதும் அது வெற்றிபெறலாம். ஒரு பக்கத்தின் புரவலனிலிருந்து மறுபக்கத்தின் சேவைக்குச் சோதித்து, பதில் சுரங்கப்பாதை வழியாக வருகிறது என்பதை உறுதிப்படுத்துங்கள். பிங் மட்டும் வெற்றிபெற்றால், தடுக்க எழுதப்பட்ட அதே அனுப்பீட்டுச் சிக்கலைப் பதிவு இப்போதுதான் கண்டுபிடித்துள்ளது. அனுப்பீடு பற்றிய strongSwan ஆவணம் Linux சகாவில் செலெக்டர்கள், வழித்தடங்கள் மற்றும் அனுப்பீடு எவ்வாறு தொடர்பு கொள்கின்றன என்பதை விளக்குகிறது.