தளம்-தளம் VPN அல்லது தொலை அணுகல்: ஒவ்வொன்றும் எதை இணைக்கிறது
ஒன்று நுழைவாயில்களை இணைக்கிறது, மற்றொன்று சாதனங்களை இணைக்கிறது. ட்ராஃபிக் தேர்விகளை வழிகளுடன் ஒப்பிடுங்கள், முகவரி அமைப்பை திட்டமிடுங்கள், பின்னர் உண்மையான ஹோஸ்ட்டிலிருந்து அனுப்புதல் மற்றும் கொள்கையை சோதிக்கவும்.
இரண்டு வடிவமைப்புகளும் VPN என்று அழைக்கப்படுகின்றன, அவை வெவ்வேறு பிரச்சினைகளைத் தீர்க்கின்றன. தளம்-தளம் சுரங்கப்பாதை இரண்டு நுழைவாயில்களை இணைக்கிறது, எனவே அவற்றின் பின்னால் உள்ள ஒவ்வொரு ஹோஸ்ட்டும் எதையும் நிறுவாமல் மறுபக்கத்தின் அனுமதிக்கப்பட்ட முகவரிகளை அடைய முடியும். தொலை அணுகல் சுரங்கப்பாதை தனிப்பட்ட சாதனங்களை ஒரு நெட்வொர்க்குடன் இணைக்கிறது, ஒரு நேரத்தில் ஒரு கிளையண்ட். இந்த ஒப்பீடு முக்கியம், ஏனெனில் பெரும்பாலான பயன்பாட்டு பிழைகள் ஒன்றை உள்ளமைத்து மற்றொன்றின் நடத்தையை எதிர்பார்ப்பதால் ஏற்படுகின்றன, மேலும் அறிகுறி பொதுவாக சுரங்கப்பாதை உண்மையில் அடைந்த ஒரு சேவையில் நேரம் முடிவடைவது ஆகும்.
இரண்டு வடிவமைப்புகள், இரண்டு எல்லைகள்
| Site-to-site | Remote access | |
|---|---|---|
| Endpoints | two gateways | a gateway and each client |
| Who configures | network owners | each user or an MDM |
| Scope of reach | whatever the gateways route | whatever the client is granted |
| Broadcast discovery | not carried | not carried |
எந்த வடிவமைப்பும் LAN ஒளிபரப்பு டொமைனை விரிவாக்காது. தொலை பக்கத்தில் உள்ள சாதனங்கள் உள்ளூர் கண்டறிதல் பட்டியலில் தோன்றுவதில்லை, அதை எதிர்பார்ப்பது கைவிட வேண்டிய முதல் அனுமானம். நீங்கள் வேண்டுமென்றே வெளியிடும் தனியார் DNS பெயர்கள் எந்த கண்டறிதல் நெறிமுறையையும் விட முன்னறிவிக்கக்கூடியவை, வழங்குநர் மாறினாலும் அவை நீடிக்கின்றன.
ஒரு தளத்தில் 10.10.0.0/24 மற்றும் மற்றொன்றில் 10.20.0.0/24 எடுத்துக்கொள்ளுங்கள். நுழைவாயில் A க்கு 10.20.0.0/24 முன்னொட்டை சுரங்கப்பாதைக்கு அனுப்பும் வழி அல்லது ட்ராஃபிக் தேர்வி தேவை, நுழைவாயில் B க்கு அதன் கண்ணாடி பிம்பம் தேவை. பின்னர் இரு பக்கங்களின் ஹோஸ்ட்களும் சாதாரண IP இணைப்பைப் பயன்படுத்துகின்றன, சுரங்கப்பாதை இருப்பதை ஒருபோதும் அறியாது. அந்த கண்ணுக்குத் தெரியாத தன்மையே அம்சம், தோல்விகள் சுரங்கப்பாதை பிழைகளாக அல்லாமல் சாதாரண நெட்வொர்க் பிழைகளாகத் தோன்றுவதற்கும் அதுவே காரணம்.
கொள்கை அடிப்படையிலானதும் வழி அடிப்படையிலானதும் ஒரே சுரங்கப்பாதை அல்ல
கொள்கை அடிப்படையிலான IPsec பயன்பாட்டில், பேச்சுவார்த்தை செய்யப்பட்ட ட்ராஃபிக் தேர்விகள் எந்த மூல மற்றும் இலக்கு ஜோடிகள் பாதுகாக்கப்படுகின்றன என்பதைத் துல்லியமாக வரையறுக்கின்றன. ஒரு நுழைவாயிலுக்குப் பின்னால் புதிய துணைநெட்வொர்க் தோன்றி எந்த தேர்வியும் அதை மூடவில்லை என்றால், சுரங்கப்பாதை இயங்கிக்கொண்டே இருக்கும், புதிய துணைநெட்வொர்க் வெறுமனே எடுத்துச் செல்லப்படாது. வழி அடிப்படையிலான வடிவமைப்பில் இடைமுகம் ட்ராஃபிக்கைப் பெறுகிறது, வழித்தட அட்டவணை முடிவு செய்கிறது, இது முன்னொட்டைச் சேர்ப்பதை சுரங்கப்பாதை மறுபேச்சுவார்த்தையாக அல்லாமல் வழி மாற்றமாக ஆக்குகிறது.
StrongSwan இரண்டு பார்வைகளையும் நேரடியாகக் காட்டுகிறது, அவற்றை ஒன்றாகப் படிப்பதே நீங்கள் உண்மையில் எந்த மாதிரியைப் பயன்படுத்தினீர்கள் என்பதை அறியும் வழி.
swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'உங்களுக்குத் தேவையான முன்னொட்டை விட்டுவிட்ட தேர்வி பட்டியல் எந்த பாக்கெட் பிடிப்பும் இல்லாமல் தோல்வியை விளக்குகிறது, தவறான இடைமுகத்தைச் சுட்டும் வழி திரும்பும் பாதையில் கண்ணாடி தோல்வியை விளக்குகிறது. எதையும் மறுபேச்சுவார்த்தை செய்வதற்கு முன் இரண்டையும் படியுங்கள், ஏனெனில் சாவி புதுப்பித்தல் நீங்கள் ஒருபோதும் உள்ளமைக்காத தேர்வியைச் சேர்க்காது.
சுரங்கப்பாதைக்கு முன் முகவரி அமைப்பைத் திட்டமிடுங்கள்
ஒன்றுடன் ஒன்று மேற்படியும் வரம்புகள் உள்ளமைவால் சரிசெய்ய முடியாத வடிவமைப்பு பிழை. இரு தளங்களும் 192.168.1.0/24 பயன்படுத்தினால், 192.168.1.50 தேவைப்படும் ஹோஸ்ட்டுக்கு இரண்டு வேட்பாளர்கள் உள்ளனர், தேர்ந்தெடுக்க வழியில்லை. சுரங்கப்பாதை அங்கீகரிக்கப்படும், பாதுகாப்பு சங்கங்கள் நிறுவப்படும், வழித்தட முடிவு இருப்பினும் தவறாகவோ தெளிவற்றதாகவோ இருக்கும்.
மூன்று நேர்மையான விருப்பங்களில் ஒன்றைத் தேர்ந்தெடுங்கள்: ஒரு தளத்தை மறுஎண்ணிடுங்கள், நுழைவாயிலில் மேற்படியும் வரம்பை மொழிபெயர்த்து ஒவ்வொரு பக்கமும் தனி முன்னொட்டைக் காண வைக்கவும், அல்லது அந்த ஹோஸ்ட்களுக்கு நேரடி வழியை விட்டுவிட்டு சேவையை வேறு வழியில் வெளியிடுங்கள். ஒவ்வொன்றுக்கும் செலவு உள்ளது, இரண்டு ஆண்டு கண்ணோட்டத்தில் முதல் ஒன்றே பொதுவாக மலிவானது. சுரங்கப்பாதை உருவாகும் முன் முடிவு செய்யுங்கள், ஏனெனில் பின்னர் அந்த மாற்றம் பழைய முகவரி உள்ள ஒவ்வொரு சாதனத்தையும் தொடும்.
MTU பிரச்சினையையும் விரைவில் தீர்க்கவும். சுரங்கப்பாதை பயனுள்ள சுமையைக் குறைக்கிறது, துண்டாக்கலைச் சார்ந்த வடிவமைப்பு நுழைவாயில்களில் MSS ஐ நிலைநிறுத்தும் வடிவமைப்பிலிருந்து வேறுபடுகிறது.
அனுப்புதல் மற்றும் கொள்கை சுரங்கப்பாதைக்கு வெளியே உள்ளன
நுழைவாயில் சுரங்கப்பாதை இடைமுகத்திற்கும் LAN இடைமுகத்திற்கும் இடையே பாக்கெட்டுகளை அனுப்பத் தயாராக இருக்க வேண்டும், இரு திசைகளுக்கும் சேவையை அனுமதிக்கும் கொள்கை தேவை. Linux இல் இவை இரண்டு தனி அமைப்புகள், கூடுதலாக அனுப்பப்பட்ட ஓட்டம் அனுமதிக்கப்படுகிறதா என்பதைத் தீர்மானிக்கும் ஃபயர்வால் விதிகள்.
sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPTபெறும் ஹோஸ்ட் மூன்றாவது அடுக்கைச் சேர்க்கிறது: அதன் சொந்த ஃபயர்வால் இன்னும் தொலை துணைநெட்வொர்க்கிலிருந்து கிளையண்டை ஏற்க வேண்டும். தனது உள்ளூர் /24 ஐ மட்டும் அனுமதிக்கும் கோப்பு சேவையகம், சுரங்கப்பாதை எவ்வளவு ஆரோக்கியமாகத் தோன்றினாலும் 10.20.0.7 இலிருந்து அனுப்பப்பட்ட ட்ராஃபிக்கை நிராகரிக்கும், அந்த நிராகரிப்பை வழி தோல்வியாகப் படிப்பது எளிது.
நுழைவாயிலிலிருந்து அல்ல, ஹோஸ்ட்டிலிருந்து சோதிக்கவும்
நுழைவாயிலே அனுப்பும் ping அனுப்பப்பட்ட பயனர் ட்ராஃபிக்கிலிருந்து வேறு மூல முகவரி மற்றும் வேறு கொள்கையைப் பின்பற்றலாம். இது அதை பலவீனமான சோதனையாகவும் சில நேரங்களில் தவறாக வழிநடத்துவதாகவும் ஆக்குகிறது: பயன்பாடு தோல்வியடையும்போது அது வெற்றிபெறுகிறது, அல்லது பயன்பாடு இயங்கும்போது அது தோல்வியடைகிறது.
ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/nullஉண்மையான ஹோஸ்ட், உண்மையான மூல முகவரி மற்றும் பயன்பாடு பயன்படுத்தும் உண்மையான நெறிமுறையைப் பயன்படுத்துங்கள். பின்னர் திரும்பும் பாதையைத் தனியாகப் படியுங்கள், ஏனெனில் திரும்பும் வழி இல்லாமல் இயங்கும் முன்னோக்கு திசை, தடுக்கப்பட்ட சேவைக்கு ஒத்ததாகத் தோன்றும் நேர முடிவை உருவாக்குகிறது.
நீங்கள் பதிலளிக்கும் கேள்விக்கு ஏற்ப வடிவமைப்பைத் தேர்ந்தெடுங்கள்: நெட்வொர்க்குகளை இணைக்கிறீர்களா அல்லது சாதனங்களை ஏற்கிறீர்களா? மற்ற அனைத்தும், எந்த வழங்குநரை உள்ளமைக்கிறீர்கள் என்பதும் உட்பட, அந்த பதிலிலிருந்தே வருகிறது.