தொடர்ச்சியாக இரண்டு VPN தாவல்கள்: உங்கள் போக்குவரத்தை உண்மையில் யார் பார்க்கிறார்?
தொடர் தாவல்கள் முதல் நுழைவாயிலில் மறைகுறியாக்கி மீண்டும் குறியாக்குகின்றன; உள்ளடுக்கிய தாவல்கள் வெளிப்புற அடுக்கை மட்டும் நீக்குகின்றன. இரு வடிவமைப்புகளையும் பார்த்து எந்த இயக்குநர் எதைப் படிக்கிறார் என்பதை அறிக.
ஒவ்வொரு வாடிக்கையாளர் சுயவிவரமும் ஒரு சேவையகத்தைக் குறிப்பிடுகிறது, எனவே பயனாளியின் இடத்திலிருந்து ஒரு சுரங்கம் மற்றும் பாதுகாப்பு முடியும் ஒரு இடம் உள்ளன. அந்த முதல் நுழைவாயிலுக்குப் பிறகு என்ன நடக்கிறது என்பது வாடிக்கையாளர் ஒருபோதும் காணாத வடிவமைப்பு முடிவு, மேலும் இரு பொதுவான வடிவமைப்புகளும் பரிசோதனையில் மிகவும் வேறுபடுகின்றன. தொடர் சங்கிலியில் முதல் நுழைவாயில் மறைகுறியாக்கி மீண்டும் குறியாக்குகிறது. உள்ளடுக்கிய சங்கிலியில் அது வெளிப்புற அடுக்கை நீக்கி திறக்க முடியாத உட்புற சுரங்கத்தை முன்னோக்கி அனுப்புகிறது. தாவல்களின் எண்ணிக்கை இரண்டிலும் ஒன்றே, அதனால் வேறுபாட்டை எண்ணாமல் வரைய வேண்டும்.
வாடிக்கையாளரிடமிருந்து தொடங்கி இரு முனைகளுக்கும் பெயரிடுங்கள்
பயனாளி தொடங்கும் இடத்திலிருந்து, அதாவது இணைப்பு சுயவிவரத்தில் தொடங்குங்கள். அதில் ஒரு தொலை முகவரி, ஒரு அங்கீகார முறை மற்றும் வடிவமைப்பு ஆதரித்தால் பாதைகளின் பட்டியல் உள்ளன. வாடிக்கையாளரிடமிருந்து A நுழைவாயில் வரையிலான அந்த வெளிப்புற சுரங்கத்தைப் பெயரிட்டு எடுத்துக்காட்டு முகவரிகளைக் கொடுங்கள்: வாடிக்கையாளரின் சுரங்க முகவரி 10.77.0.2, A இன் 10.77.0.1, மற்றும் A இன் பொது இறுதிப் புள்ளி 198.51.100.10, TEST-NET-2 ஆவண வரம்பிலிருந்து எடுக்கப்பட்டது, எடுத்துக்காட்டில் எதுவும் உண்மையான புரவலனுடன் மோதாமல் இருக்க.
அந்த சுயவிவரத்தில் B நுழைவாயிலைப் பற்றி எதுவும் குறிப்பிடப்படவில்லை, அது குறையல்ல. இரண்டாவது தாவல் A க்கு சொந்தமானது, வாடிக்கையாளரின் ஒரே கடமை போக்குவரத்தை A க்கு அனுப்பி திரும்பி வருவதை ஏற்பதே. A சுரங்கத்தை முடிக்கிறதா, அனுப்புகிறதா அல்லது புதிதாகத் திறக்கிறதா என்பது இந்தப் பயணத்தின் மீதிப் பகுதி பதிலளிக்கும் கேள்வி, அதுவே A எதைப் படிக்க முடியும் என்பதைத் தீர்மானிக்கிறது.
தொடர்: A மறைகுறியாக்கி பின்னர் மீண்டும் குறியாக்குகிறது
தொடர் வடிவமைப்பில் A போக்குவரத்தை இருமுறை முடிக்கிறது. அது வாடிக்கையாளரிடமிருந்து பாதுகாப்பை நீக்கி, பயன்பாட்டின் IP பொதியைப் பெற்று, பின்னர் அந்தப் பொதியை A, B நோக்கி உருவாக்கும் இரண்டாவது சுரங்கம் வழியாக அனுப்புகிறது. இந்த இரு செயல்களுக்கு இடையில் பொதி A இன் அனுப்பு பாதையில் தனியார் இலக்கிற்கு முகவரியிடப்பட்ட சாதாரண IP பொதியாக அமர்கிறது.
அதிலிருந்து தெளிவாகச் சொல்ல வேண்டிய இரண்டு விளைவுகள் வருகின்றன. A உட்புற பொதிக்கு கொள்கையைப் பயன்படுத்தலாம், பாதைகள், வடிகட்டி விதிகள் மற்றும் மூலம் மற்றும் இலக்கின் பதிவு வடிவில், மேலும் A இரண்டு அங்கீகாரத் தொகுப்புகளை வைத்திருக்க வேண்டும்: ஒன்று வாடிக்கையாளருக்கு சேவையகமாக, மற்றொன்று B இன் வாடிக்கையாளராக. ஒவ்வொரு கணமும் பாதுகாப்பு உள்ளது, இருப்பினும் பாதுகாக்கப்படும் பொருள் A இல் அடையாளத்தை மாற்றுகிறது.
அதிலிருந்து A பயன்பாட்டின் தெளிவான உரையைப் படிக்கிறது என்று பொருள் இல்லை. வாடிக்கையாளரும் சேவையும் TLS இயக்கி ஒருவருக்கொருவர் சான்றிதழ்களைச் சரிபார்க்கும்போது, A படிக்கக்கூடிய கோரிக்கைக்குப் பதிலாக TLS பதிவு ஓட்டத்தைப் பார்க்கிறது. அந்தப் பாதுகாப்பு எங்கே முடிகிறது என்பதை உறுதிப்படுத்த சுரங்கத்தின் வரைபடம் அல்ல, சேவையின் சான்றிதழ் சங்கிலியைப் பார்க்க வேண்டும்.
உள்ளடுக்கியது: A வெளிப்புற அடுக்கை மட்டும் நீக்குகிறது
உள்ளடுக்கிய வடிவமைப்பில் வாடிக்கையாளர் முதலில் B நோக்கி உட்புற சுரங்கத்தைக் கட்டி, பின்னர் அந்தச் சுரங்கத்தை வெளிப்புற சுரங்கத்தின் உள்ளே A வரை எடுத்துச் செல்கிறார். A வெளிப்புற தலைப்பை நீக்கி, உட்புற சுரங்கத்தைக் கண்டுபிடித்து அதன் சாவிகளை வைத்திருக்காமல் அனுப்புகிறது, எனவே உட்புறப் பாதுகாப்பு இன்னும் B இல் முடிகிறது.
பின்னர் வாடிக்கையாளரின் மேல்நோக்கு இணைப்பு இரண்டு அடுக்குகளைச் சுமக்கிறது, A மற்றும் B இடையிலான பாதை ஒன்றைச் சுமக்கிறது. A உட்புற சுரங்கத்தின் வெளிப்புற முகவரிகளைப் பார்க்கிறது, அது போக்குவரத்து உள்ளது என்பதையும் தோராயமாக எங்கு செல்கிறது என்பதையும் அறிய போதுமானது, சுமையைப் படிக்க போதாது. தொடர் நிலையிலிருந்து முழு வேறுபாடும் இதுவே, எந்தத் தாவல் எண்ணியும் அதைக் காட்டாது. A இன்னும் செய்யக்கூடியது படிக்க முடியாததை அனுப்ப மறுப்பதே, அது அந்த நுழைவாயிலின் இயக்குநருக்கு எப்போதும் கிடைக்கும்.
உள்ளடுக்கல் அந்தப் பண்புக்கு விலை கொடுக்கிறது. ஒவ்வொரு அடுக்கும் தலைப்பு மேலதிகச் செலவைச் சேர்க்கிறது, எனவே MTU மற்றும் MSS திட்டமிடல் ஒழுங்காக இருப்பதை விட கட்டாயமாகிறது, ஒரு அடுக்குடன் இயங்கும் பாதை இரண்டுடன் பெரிய பொதிகளை அமைதியாக விடலாம். ஒவ்வொரு அடுக்கிற்கும் அதன் சொந்த மறுஇணைப்பு மற்றும் உயிருடன் வைத்திருக்கும் நடத்தை தேவை, ஒரு அடுக்கில் ஏற்படும் தோல்வி மற்றொன்றின் வழியாக பகுதி இடையூறாகத் தெரிகிறது.
சுரங்கங்களை மட்டுமல்ல, பார்வையாளர்களையும் வரையுங்கள்
சுரங்கங்கள் வரைபடத்தின் எளிய பகுதி. பார்வையாளர்களே வடிவமைப்பின் பொருள், எனவே ஒவ்வொரு பார்வைக் கோணத்திற்கும் ஒரு வரி எழுதி ஒவ்வொருவரும் உண்மையில் என்ன படிக்க முடியும் என்பதை நிரப்புங்கள்.
| Vantage point | Serial chain | Nested chain |
|---|---|---|
| Client's access network | Outer tunnel only | Outer tunnel only |
| Operator of A | Inner IP packet between A and B | Outer addresses of the inner tunnel, not its payload |
| Path between A and B | Second tunnel | Second tunnel |
| Operator of B | Inner packet re-originated by A | Payload after the inner layer is removed |
| Service edge | Traffic from the exit address | Traffic from the exit address |
இரண்டு வரிகள் தொடர்ந்து குழப்பப்படுகின்றன: A இன் இயக்குநர் மற்றும் வாடிக்கையாளரின் சுரங்க வழங்குநர். அவர்கள் ஒரே அமைப்பாக இருக்கலாம், தனித்தனி நுழைவாயில் பெயர்கள் அவர்களை சுதந்திரமாக்காது. சுதந்திர உரிமைக்கு தனி நிர்வாகக் கட்டுப்பாடு, தனி அங்கீகாரங்கள் மற்றும் தனி பதிவு தேவை.
மெட்டாடேட்டா இரு வடிவமைப்புகளிலும் தப்பிப்பிழைக்கிறது. நேரம், பொதி அளவுகள் மற்றும் இணைப்பு எண்ணிக்கைகள் ஒவ்வொரு தாவலிலும் கவனிக்கக்கூடியதாகவே இருக்கின்றன, எனவே இரண்டு தாவல்கள் சமிக்ஞையை நீக்குவதற்குப் பதிலாக தொடர்புபாட்டின் செலவை உயர்த்துகின்றன. கண்ணுக்குத் தெரியாத தன்மையை உறுதியளிக்கும் வடிவமைப்பு யாரும் அதை நம்புவதற்கு முன் அந்தப் பட்டியலுடன் சரிபார்க்கப்பட வேண்டும்.
தேர்ந்தெடுப்பதற்கு முன் தோல்விப் பாதைகளை நடங்கள்
பயனாளி சந்திக்கும் வரிசையில் வாடிக்கையாளரிடமிருந்து வேண்டுமென்றே பொருட்களை உடையுங்கள். இடைமுகம் மற்றும் அதன் MTU இல் தொடங்குங்கள், ஏனெனில் உள்ளடுக்கல் அங்கீகாரத்தில் தோல்வியடைவதை விட மிக முன்னதாக பொதி அளவில் தோல்வியடைகிறது.
ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1பின்னர் பாதுகாப்பு இறுதிப் புள்ளிகளை ஊகிக்காமல் உறுதிப்படுத்துங்கள். எந்தச் சுரங்கம் செயலில் உள்ளதோ அதன் உள்ளிருந்து சேவையிடம் அதன் சான்றிதழைக் கேளுங்கள், வாடிக்கையாளர் காணும் சங்கிலியை சேவை உண்மையில் வழங்கும் சங்கிலியுடன் ஒப்பிடுங்கள். மீண்டும் கையொப்பமிடும் அல்லது தடுக்கும் நுழைவாயில் அந்தச் சான்றிதழை மாற்றுகிறது, பரிசோதனை ஒரே கட்டளையில் தெரியவருகிறது.
openssl s_client -connect intranet.example.com:443 -brief < /dev/nullமறுஇணைப்பு அணியுடன் முடியுங்கள்: வாடிக்கையாளரின் சுரங்கம் விழுகிறது, B இன் சுரங்கம் விழுகிறது, A மற்றும் B இடையிலான பாதை மாறுகிறது. என்ன திரும்பி வருகிறது, என்ன வரவில்லை, உட்புற இணைப்பு எப்போதாவது அதன் நோக்கமிட்ட கடத்தியின் வெளியே உள்ள பாதைக்கு விழுகிறதா என்பதைக் குறிப்பிடுங்கள். ஒவ்வொரு சோதனையும் பயன்படுத்திய முகவரிகளைப் பதிவு செய்யுங்கள், ஏனெனில் வேறு அணுகல் வலையமைப்பில் அதை மீண்டும் செய்வது வேறு கேள்விக்குப் பதிலளிக்கிறது. ஒவ்வொரு மறுஇணைப்பிற்குப் பிறகும் MTU சோதனையையும் மீண்டும் செய்யுங்கள், ஏனெனில் மாறிய பாதை ஒரு கட்டமைப்பு வரிகூட அசையாமல் பயன்படுத்தக்கூடிய அளவைக் குறைக்கலாம்.
A உட்புற பொதிக்கு கொள்கையைப் பயன்படுத்த வேண்டியிருக்கும்போது, அல்லது வாடிக்கையாளர் இரண்டு அடுக்கு சுரங்கங்களை இயக்க முடியாதபோது தொடரைத் தேர்ந்தெடுங்கள். உட்புறச் சுமை A இல் படிக்க முடியாததாக இருக்க வேண்டியிருக்கும்போது உள்ளடுக்கலைத் தேர்ந்தெடுங்கள். தேர்வை அதன் பார்வையாளர்கள் மற்றும் MTU எண்களுடன் எழுதுங்கள், அடுத்த நபர் ஒரு கேள்விக்குப் பதிலளிக்க முழு படத்தையும் மீண்டும் வரைய வேண்டியிருக்காது.