VPN-இன் பிரத்யேக முகவரியில் உண்மையில் யார் பதிலளிக்கிறார்?

நிறுவனத்தின் ஒதுக்கீட்டில் பயன்படுத்தப்படாமல் கிடக்கும் முகவரி கேட்பவர் அல்ல, அதை firewall-இல் சேர்ப்பதால் ஒன்றும் உருவாகாது. அந்த முகவரியில் IKE-ஐ ஏதோ ஒன்று முடிக்க வேண்டும், மேலும் நுழைவாயில் முகவரியைக் கொண்டிருக்கிறதா அல்லது மேல்நிலை சாதனம் அதை மொழிபெயர்க்கிறதா என்பதைப் பொறுத்து முறை வேறுபடுகிறது. இரண்டையும் வேறுபடுத்துவது பாக்கெட்டின் பாதை, மேலும் யாராவது மாற்றக் கோரிக்கையைத் திறப்பதற்கு முன் உங்களுக்கு எந்த தள அம்சம் தேவை என்பதையும் அதுவே தீர்மானிக்கிறது. முதலில் பாதையை மாதிரியாக்குங்கள், பிறகு தேர்ந்தெடுங்கள்.

முகவரிக்குப் பின்னால் உள்ள பாக்கெட் பாதை

இணை ஒன்று தனக்கு வழங்கப்பட்ட முகவரிக்கு IKE அனுப்புகிறது, UDP 500 இல் அல்லது NAT கடத்தல் ஈடுபடும்போது UDP 4500 இல். பாதையில் அந்த முகவரியை வைத்திருக்கும் எந்தச் சாதனமும் டேட்டாகிராமை உள்நாட்டில் பெற்று பதிலளிக்கிறது, அல்லது வேறு இடத்திற்கு அனுப்புகிறது. இவை இரண்டே சாத்தியங்கள், இந்தக் கட்டுரையில் மீதமுள்ள அனைத்தும் இவற்றில் எது உண்மை என்பதிலிருந்து வருகிறது.

உள்நாட்டில் பெறுதல் என்பது அந்தச் சாதனத்தில் அந்த முகவரியுடன் பிணைக்கப்பட்ட சாக்கெட் உள்ளது என்பதாகும். அனுப்புதல் என்பது டேட்டாகிராம் மீண்டும் எழுதப்பட்டு மற்றொரு முனைக்கு அனுப்பப்படுகிறது, அப்போது சாக்கெட் அங்கே இருக்கும். UDP 500-ஐ அனுமதிக்கும் firewall விதி இவற்றில் எது நடக்கிறது என்பதை உங்களுக்குச் சொல்லாது.

எதையும் தொடுவதற்கு முன் பதிவை எழுதுங்கள்: இணைகள் தொடர்பு கொள்ளும் முகவரி, மேல்நிலை வலையமைப்பு அதை எவ்வாறு வழங்குகிறது, அதைப் பெறும் உள்நாட்டு இடைமுகம் அல்லது தர்க்க முனை, மற்றும் IKE-க்கு பதிலளிக்கும் செயல்முறை. நான்கு வரிகள், ஒவ்வொன்றையும் சரிபார்க்க முடியும். அவற்றில் ஒன்று தெரியவில்லை என்றால், அந்தத் தெரியாததே வடிவமைப்புப் பணி, பிறகு தீர்மானிக்கப்பட வேண்டிய செயலாக்க விவரம் அல்ல. மாற்றக் கோரிக்கை அங்கீகரிக்கப்பட்ட பிறகு அவற்றை நிரப்புவதே தவறான சாதனத்தில் மொழிபெயர்ப்பு விதி சேர்வதற்கான வழி.

மாதிரி A: நுழைவாயில் முகவரியைக் கொண்டுள்ளது

முதல் மாதிரியில் நுழைவாயிலே முகவரியை வைத்திருக்கிறது, ஏற்கனவே உள்ள இடைமுகத்தில் இரண்டாம் நிலை முகவரியாக, பிரத்யேக இடைமுகத்தில் முகவரியாக, அல்லது தளம் சுரங்க முனையாக ஆதரிக்கும் loopback ஆக. இவை வெவ்வேறு கட்டமைப்புப் பாதைகளைக் கொண்ட மூன்று வெவ்வேறு அம்சங்கள், ஒன்றை ஆதரிக்கும் தளம் மற்றவற்றை ஆதரிக்காமல் இருக்கலாம்.

அதைச் சுற்றி வடிவமைப்பதற்கு முன் தளமும் பதிப்பும் சரியாக இந்த ஏற்பாட்டை ஆதரிக்கின்றன என்பதை உறுதிப்படுத்துங்கள். வழிமாற்றப்பட்ட தொகுதி, இடைமுகத்தில் கூடுதல் முகவரி மற்றும் loopback முனை ஆகியவை ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல, ஒரு பதிப்பின் ஆவணங்கள் அடுத்தது அதேபோல் நடந்துகொள்ளும் என்று உறுதியளிக்காது.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

கேட்கும் சாக்கெட்டே சான்று. முகவரியுடன் எதுவும் பிணைக்கப்படவில்லை என்றால், வழிமாற்று அட்டவணை என்ன சொன்னாலும் நுழைவாயில் முடிப்பவர் அல்ல, பாக்கெட் பிடிப்பு டேட்டாகிராம்கள் வந்து கொண்டிருப்பதைக் காட்டும், ஆனால் பதிலளிப்பார் யாரும் இல்லை.

டோபாலஜியில் வேறெங்கோ ஏற்கனவே உள்ள சப்நெட்டில் இரண்டாவது இடைமுகத்தை வைக்க வேண்டாம், தளம் அதைச் சரிசெய்யும் என்று எண்ண வேண்டாம். ஒன்றுடன் ஒன்று மேலிடும் இடைமுக சப்நெட்டுகள் தெளிவற்ற மூலத் தேர்வை உருவாக்குகின்றன, பல தளங்களில் கட்டமைப்பதற்கே முழு மறுப்பை உருவாக்குகின்றன.

மாதிரி B: மேல்நிலை சாதனம் அதை மொழிபெயர்க்கிறது

இரண்டாவது மாதிரியில் மேல்நிலை firewall பிரத்யேக முகவரியை வைத்திருக்கிறது, போக்குவரத்தை வேறு VPN நுழைவாயிலுக்கு அனுப்புகிறது. அது திரும்பும் பாதையுடன் கூடிய இலக்கு மொழிபெயர்ப்பு, அதுபோல் ஆவணப்படுத்தப்பட்டிருந்தால் அது முற்றிலும் செல்லுபடியாகும் வடிவமைப்பு.

எது அல்ல என்றால், மேல்நிலை சாதனம் உள்நாட்டு VPN சாக்கெட்டைப் பெற்றது என்பதற்கான சான்று அது அல்ல. மொழிபெயர்ப்பு பாக்கெட்டுகளை அனுப்புகிறது; அது மேலுள்ள பெட்டியை IKE பதிலளிப்பவராக ஆக்காது. மேல்நிலை விதி நீக்கப்பட்டாலோ அதன் திரும்பும் பாதை உடைந்தாலோ, நுழைவாயில் ஆரோக்கியமாகவும் அதன் சொந்தக் கேட்பவர்கள் பாதுகாப்பாகவும் இருந்தாலும் VPN நிற்கிறது.

இரண்டு முகவரிகளையும் பதிவு செய்யுங்கள்: இணைகள் தொடர்பு கொள்வது மற்றும் நுழைவாயில் உண்மையில் பார்ப்பது. பிறகு போக்குவரத்தையும் திரும்பும் பாதையையும் பதிவு செய்யுங்கள், ஏனெனில் UDP 500-க்கு வேலை செய்யும் ஆனால் காப்சூல் செய்யப்பட்ட ESP-க்கு வேலை செய்யாத மொழிபெயர்ப்பு இணைந்து பிறகு போக்குவரத்தை எடுத்துச் செல்லத் தவறும், இது பின்னர் பிழைத்திருத்த குழப்பமான தோல்வி.

அடையாளம் வெளிப்புற முகவரி அல்ல

IPsec சுரங்க முனையை அது பாதுகாக்கும் போக்குவரத்திலிருந்து பிரிக்கிறது, மேலும் கட்டமைப்பு அந்த முடிவுகளை வெவ்வேறு இடங்களில் வைத்திருக்கிறது. இணைகள் தொடர்பு கொள்ளும் முகவரியை மாற்றுவது எந்த உள் முன்னொட்டுகள் அனுமதிக்கப்படுகின்றன, எந்த வழிகள் நிறுவப்படுகின்றன அல்லது அமர்வு எந்த வளங்களை அடைய முடியும் என்பதைத் தானாக மாற்றாது.

அங்கீகரிக்கப்பட்ட அடையாளம் மீண்டும் தனியாக உள்ளது. IKEv2 வெளிப்புற பாக்கெட் முகவரியுடன் பொருந்தத் தேவையில்லாத அடையாள சுமை மற்றும் அங்கீகாரப் பரிமாற்றத்தைக் கொண்டு செல்கிறது, அதனால்தான் மொழிபெயர்க்கப்பட்ட வடிவமைப்பும் இன்னும் சரியாக அங்கீகரிக்க முடிகிறது.

அந்தச் சுதந்திரம் பயனுள்ளதும் அதே நேரத்தில் பொறியுமாகும். ஒரு சாதாரண கேட்பவருக்குத் தீர்க்கப்படும் இரண்டு DNS பெயர்கள் வெவ்வேறு VPN பின்தளங்களைத் தேர்ந்தெடுக்காது, ஒரு அடையாளத்தைப் பெயரிடும் சான்றிதழ் மற்றொன்றை எதிர்பார்க்கும் இணையைத் திருப்திப்படுத்தாது. முகவரி மட்டுமே அதைத் தீர்மானிக்கிறது என்று கருதுவதற்கு முன் இணை எதைச் சரிபார்க்கிறது என்பதை உறுதிப்படுத்துங்கள்.

ஒரு இணைப்பைக் கவனித்து வடிவமைப்பை ஏற்றுக்கொள்ளுங்கள்

புதிதாக அங்கீகரிக்கப்பட்ட இணைப்பு உண்மையில் எங்கே வழங்கப்படுகிறது, எந்த அடையாளம் பதிலளிக்கிறது, பிறகு எந்த தனிப்பட்ட ஓட்டம் அனுமதிக்கப்படுகிறது என்பதைப் பாருங்கள். மூன்று கவனிப்புகள், மூன்று வெவ்வேறு அடுக்குகள், முகவரியின் வெற்றிகரமான பொது தேடல் அவற்றில் ஒன்றையும் சோதிக்காது.

எதிர்மறை நிலையையும் வைத்திருங்கள்: ஏற்கக் கூடாத இணை, அல்லது அடையக் கூடாத உள் முன்னொட்டு, மாற்றத்திற்குப் பிறகு சரிபார்க்கப்பட்டது. தொடக்கத்தில் எழுதிய பதிவே, வடிவமைப்பை நினைவிலிருந்து மீண்டும் உருவாக்காமல் அந்தச் சோதனையைச் சாத்தியமாக்குகிறது.

இவை அனைத்தின் நோக்கம், ஒவ்வொரு firewall-ம் கூடுதல் முகவரியுடன் என்ன செய்ய முடியும் என்பது பற்றிய பொதுவான கூற்றை நம்புவதற்குப் பதிலாக, வலையமைப்பு உரிமையாளர் ஆதரிக்கப்பட்ட ஒதுக்கீட்டு முறையைத் தேர்ந்தெடுக்க அனுமதிப்பதாகும். அந்தக் கூற்றே இந்த வடிவமைப்புகள் தவறிழைக்கும் இடம், ஏனெனில் அது ஒவ்வொரு தளத்திலும் நம்பத்தகுந்ததாகக் கேட்கிறது, பொதுவாக எதிலும் உண்மையல்ல. நான்கு வரி பதிவு அதை உங்கள் தளத்திற்கு பத்து நிமிடங்களில் தீர்மானிக்கிறது.