உங்கள் தளத்தின் VPN எங்கு முடிகிறது என்பது எது பரிசோதிக்கப்படும் என்பதை தீர்மானிக்கிறது

தளங்களுக்கு இடையேயான சுரங்கப்பாதை முழு பரிசோதனை வடிவமைப்பையும் தீர்மானிக்கும் ஒரு விவரத்தை மறைக்கிறது: உள் பொதி தெளிவான உரையாகத் தோன்றும் அந்தச் சாதனம். அந்தப் புள்ளிக்கு முன் எல்லாம் ESP-ஐப் பார்க்கிறது, அதற்குப் பின் எல்லாம் ஒரு விதி பிடிக்கக்கூடிய சாதாரண IP-ஐப் பார்க்கிறது. எல்லையைத் தவறான இடத்தில் வைத்தால் நீங்கள் பணம் கொடுத்த ஃபயர்வால் உரிமம் பெற்ற ரவுட்டராக மாறும். கீழேயுள்ள வழிகாட்டி முதலில் கோட்டை வரைந்து, பின்னரே எந்தச் சாதனம் அதை வைத்திருக்க வேண்டும் என்று கேட்கிறது.

பொதி இனி மறைகுறியாக்கப்படாத இடத்தில் கோட்டை வரையுங்கள்

சுரங்கப்பாதை பயன்முறையில் அசல் பொதி மறைகுறியாக்கப்பட்டு, இணை நுழைவாயிலுக்கு முகவரியிடப்பட்ட புதிய வெளிப்புற IP தலைப்பில் பொதியப்படுகிறது. அந்த வெளிப்புற பொதி ESP-க்கான 50 நெறிமுறையைச் சுமக்கிறது, எனவே இரு நுழைவாயில்களுக்கு இடையேயான எந்தச் சாதனமும் உள் முகவரிகளைப் படிக்காமல் அதை வழிப்படுத்த முடியும். மறைகுறியாக்கத்தை நீக்கும் முதல் சாதனமே பாதுகாப்பு எல்லை, மேலும் உள் ஓட்டத்திற்குக் கொள்கையைப் பயன்படுத்தக்கூடிய முதல் சாதனமும் அதுவே. அந்தப் புள்ளிக்குக் கீழே எல்லாம் சாதாரண வழிப்படுத்தல்.

வரைபடத்தில் மூன்று விஷயங்களைக் குறியுங்கள்: ESP-ஐ ஏற்கும் வெளிப்புற முனைப்புள்ளி, கொள்கையில் பெயரிடப்பட்ட பாதுகாக்கப்பட்ட வலையங்கள், மற்றும் மறைகுறியாக்கம் நீக்கப்பட்ட பொதி எடுக்கும் அடுத்த தாவல். இந்த மூன்றும் ஒரே சாதனத்தில் இல்லாவிட்டால் உங்களிடம் வடிவமைக்க வேண்டிய ஒப்படைப்பு உள்ளது, ஒரே கட்டுப்பாட்டுப் புள்ளி அல்ல.

RFC 4301 மறைகுறியாக்கத்தை நீக்கும் சாதனத்தை பாதுகாப்பு நுழைவாயில் என்கிறது, அதன் கொள்கையை எல்லையின் பகுதியாகக் கருதுகிறது. இது தயாரிப்பு வகையை விட பயனுள்ள கட்டமைப்பு, ஏனெனில் ஒரு சாதனம் கொள்கையை வைத்திருக்கும்போது எல்லையாகிறது, அதன் தரவுத்தாள் ஃபயர்வால் என்று சொல்லும்போது அல்ல.

ஃபயர்வால் முடிவாக: ஒரு சாதனம், ஒரு கொள்கைப் புள்ளி

ஃபயர்வால் சுரங்கப்பாதையை முடிக்கும்போது, மேலுள்ள ரவுட்டர் அதற்கு ESP-ஐ மட்டும் சேர்ப்பிக்க வேண்டும். ஃபயர்வால் இணையை அங்கீகரித்து, மறைகுறியாக்கத்தை நீக்கி, பின்னர் சர்வர் VLAN-ஐ நோக்கிச் செல்லும் உள் பொதிக்குத் தன் வழக்கமான விதிகளைப் பயன்படுத்துகிறது. இதனால் கொள்கையைப் படிக்க ஒரு இடமும் பதிவுகளைப் படிக்க ஒரு இடமும் கிடைக்கிறது, தணிக்கை பொதுவாகக் கேட்பது இதுவே.

இரு அனுமதிகளையும் தனித்தனியாகச் சரிபாருங்கள். சாதனத்திற்கு IKE மற்றும் ESP-ஐ அனுமதிப்பது தொலைத் தளம் ஒரு சர்வரை அடைய அனுமதிப்பதற்குச் சமமான விதி அல்ல, மேலும் சுரங்கப்பாதையை ஏற்று உள் ஓட்டத்தைத் தடுக்கும் ஃபயர்வால் மறுமுனையிலிருந்து சரியாக உடைந்த சுரங்கப்பாதை போலவே தெரிகிறது.

விலை என்னவென்றால் ஃபயர்வால் இப்போது தளத்தின் அனைத்துப் போக்குவரத்தின் பாதையிலும் உள்ளது, எனவே அதன் செயல்திறன், அமர்வு வரம்புகள் மற்றும் தோல்வியில் மாறும் நடத்தை சுரங்கப்பாதையின் சொந்த நடத்தையாகின்றன. அதை இணைந்த தள ஓட்டங்களுக்கு அளவிடுங்கள், ஒருவேளை வாங்கப்பட்ட தொலை அணுகல் சுயவிவரத்திற்கு அல்ல.

ரவுட்டர் முடிவாக: பரிசோதனைத் தாவல் விருப்பமாகிறது

ரவுட்டர் மறைகுறியாக்கத்தை நீக்கும்போது, பொதி வழிப்படுத்தல் அட்டவணையை அடையும்போது ஏற்கனவே தெளிவாக உள்ளது. தனி ஃபயர்வால் அந்தப் போக்குவரத்தைப் பரிசோதிக்க வேண்டுமானால், ரவுட்டர் அதை ஃபயர்வால் வழியாக அனுப்ப வேண்டும், திரும்பும் பாதையும் அதே வழியில் திரும்ப வேண்டும். ரவுட்டரிலிருந்து சர்வர் VLAN-க்கு நேரடிப் பாதை ஃபயர்வாலை அமைதியாகப் பாதையிலிருந்து நீக்கி வரைபடத்தில் வைத்திருக்கிறது.

இதுவே ஏற்கனவே உள்ள வலையத்தில் தேட வேண்டிய குறை: ஒரே முன்னொட்டுக்கு இரு பாதைகள், ஒன்று ஃபயர்வால் வழியாக மற்றொன்று நேரடி, நேரடிப் பாதை முன்னொட்டு நீளம் அல்லது அளவீட்டில் வெல்கிறது. சுரங்கப்பாதை இன்னும் போக்குவரத்தைக் கடத்துகிறது, நீங்கள் நம்பும் பரிசோதனை நடக்கவில்லை.

பாதை அடிப்படையிலான சுரங்கப்பாதைகள் இதைத் தெரியச் செய்கின்றன, ஏனெனில் சுரங்கப்பாதை என்பது மற்றொரு சாதனம் வழியாக வழிப்படுத்தக்கூடிய இடைமுகம். கொள்கை அடிப்படையிலான சுரங்கப்பாதைகள் போக்குவரத்தைத் தேர்வி மூலம் தேர்ந்தெடுக்கின்றன, இது மறைகுறியாக்கம் நீக்கப்பட்ட பொதியை ரவுட்டரில் வேறு இலக்கின்றி விடக்கூடும்.

இரு வேட்பாளர்களிடமும் அதே ஐந்து கேள்விகளைக் கேளுங்கள்

சிறிய பணித்தாள் அம்ச அணி அட்டவணையை வெல்கிறது, ஏனெனில் ஒவ்வொரு கேள்வியும் வரைபடத்தின் ஒரு கோட்டுக்கு ஒத்திருக்கிறது. ஒவ்வொரு வேட்பாளரையும் கேளுங்கள்:

• எந்த IKE பதிப்புகள், எந்த இணை அங்கீகார முறைகள் மற்றும் வழிப்படுத்தல் மாதிரிகள் இந்த வெளியீடு உண்மையில் ஆதரிக்கிறது?
• ESP எங்கு ஏற்கப்படுகிறது, மறைகுறியாக்கம் நீக்கப்பட்ட ஓட்டம் எங்கு அனுமதிக்கப்படுகிறது அல்லது மறுக்கப்படுகிறது?
• உள்ளூர் புரவலர்கள் தொலை முன்னொட்டுகளை எப்படிக் கற்கின்றன, மறுபக்கம் உங்களுடையதை எப்படிக் கற்கிறது?
• உண்மையான சுமைக்கு முனைப்புள்ளி எவ்வளவு செயல்திறன், எத்தனை அமர்வுகள், தோல்வியில் மாறும் எந்த நடத்தையைத் தாங்க வேண்டும்?
• சுரங்கப்பாதையே உடைந்த பொருளாக இருக்கும்போது இணையின் சான்றுகள், கொள்கை மற்றும் மீட்புப் பாதையின் உரிமையாளர் யார்?

pfSense கொள்கை அடிப்படையிலான மற்றும் பாதை அடிப்படையிலான IPsec-ஐ தனித்தனி வரம்புகளுடன் தனித்தனி மாதிரிகளாகப் பதிவு செய்கிறது, இந்த வேறுபாடு பெட்டியின் லேபிளை விட முக்கியம். நீங்கள் உண்மையில் பயன்படுத்தப்போகும் வெளியீட்டில் சரியான பயன்முறையையும் மறைகுறியாக்கம் நீக்கப்பட்ட போக்குவரத்தின் ஆதரிக்கப்பட்ட வடிகட்டலையும் சரிபாருங்கள்.

ஒரு வேட்பாளர் இரண்டாவது கேள்விக்கு நீங்கள் படிக்கக்கூடிய விதியால் பதிலளிக்க முடியாவிட்டால், அது நீங்கள் விரும்பும் எல்லை அல்ல, மற்ற எல்லாவற்றையும் எவ்வளவு சிறப்பாகச் செய்தாலும். ஆம் என்பதற்குப் பதிலாக விதியின் உரையைக் கேளுங்கள், தெளிவற்ற பதிலை இல்லை என்று கருதுங்கள்.

பாதையைப் பிடிப்பு மூலம் சரிபாருங்கள், வரைபடத்தால் அல்ல

வரைபடம் நோக்கத்தை விவரிக்கிறது, பிடிப்பு நடத்தையை விவரிக்கிறது, எனவே எதையாவது நம்புவதற்கு முன் எந்த இடைமுகம் ESP-ஐயும் எது உள் ஓட்டத்தையும் சுமக்கிறது என்பதை உறுதிப்படுத்துங்கள்.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

முதல் பிடிப்பு ESP வருவதைக் காட்டி இரண்டாவது உள் பொதியை LAN பக்கத்தில் காட்டினால், மறைகுறியாக்க நீக்கப் புள்ளி நீங்கள் நினைக்கும் இடத்திலேயே உள்ளது. உள் பொதி ஃபயர்வாலைச் சுற்றிச் செல்லும் பகுதியில் தோன்றினால், கொள்கை உரை என்ன சொன்னாலும் வழிப்படுத்தல் தவறு. xfrm பட்டியல் பின்னர் எந்தத் தேர்விகள் நிறுவப்பட்டுள்ளன, எந்தத் திசையில் என்பதைக் காட்டும்.

திரும்பும் பாதையில் பிடிப்பை மீண்டும் செய்யுங்கள், ஏனெனில் ஒரு தளத்திற்கு இரு சாத்தியமான வெளியேற்றங்கள் இருக்கும்போது சமச்சீரற்ற வழிப்படுத்தல் பொதுவானது. ஒரு திசையில் வேலை செய்து மற்றொன்றில் நேரம் முடிவடையும் சுரங்கப்பாதை கிட்டத்தட்ட எப்போதும் இதுவே, மறுபக்கத்தின் எந்தக் கொள்கை திருத்தமும் அதைச் சரிசெய்யாது.