L2TP, GRE లేదా IPsec: సెషన్‌ను ఏ పొర మోసుకెళ్లాలి?

ఒకే రూపకల్పన నోట్‌లో L2TP, GRE మరియు IPsec కలిసి వచ్చిన ప్రతిసారీ రెండు ప్రశ్నలు చిక్కుపడతాయి: నేను ఏ సెషన్‌ను మోసుకెళ్తున్నాను, దాన్ని ఏ పొర రక్షిస్తుంది? మొదటిది తప్పైతే, కింద ఉన్నవన్నీ అంతర్గతంగా స్థిరంగానే ఉంటాయి, కానీ తప్పు సమస్యను పరిష్కరిస్తాయి — వినియోగదారులు డయల్-ఇన్ చేయాల్సిన చోట నిర్మించిన మార్గనిర్దేశిత ఓవర్‌లే, లేదా సైట్-టు-సైట్ గేట్‌వే స్థానంలో నిలిచిన డయల్-ఇన్ కేంద్రం. కింది వర్క్‌షీట్ ఎవరైనా పరికరంలోకి ప్రవేశించక ముందే ఈ భేదాన్ని బలవంతంగా విధిస్తుంది. దాన్ని క్రమంగా నింపండి, ప్రతి పంక్తీ మీరు ఒంటరిగా పరీక్షించగలిగే ఒక వస్తువుగా మారుతుంది.

ప్రోటోకాల్ జాబితా నుండి కాదు, సెషన్ నుండి ప్రారంభించండి

PPP సెషన్ కలిగి ఉన్న రిమోట్ వినియోగదారు మరియు రెండు గేట్‌వేల మధ్య మార్గనిర్దేశిత ఓవర్‌లే రెండూ చివరికి IPsecలో చుట్టబడినా విభిన్న నెట్‌వర్క్ సంబంధాలు. మొదటిది ప్రతి వినియోగదారు లింక్‌ను ముగిస్తుంది మరియు చిరునామా కేటాయింపు, వ్యక్తి లేదా పరికర ధృవీకరణ, ఆ వినియోగదారు ఏ అంతర్గత నెట్‌వర్క్‌లను చేరుకోగలరో పేర్కొనే విధానం అవసరం. రెండవది ఎవరూ డయల్-ఇన్ చేయని సైట్‌ల మధ్య ప్యాకెట్‌లను పంపిస్తుంది.

మీరు రెండింటిలో ఏది నిర్మిస్తున్నారో పేర్కొనే ఒక వాక్యం రాయండి, తర్వాత దాన్ని నిర్వహించాల్సిన వ్యక్తి మీరే అన్నట్లు తిరిగి చదవండి. వాక్యానికి «మరియు» అనే పదం అవసరమైతే, మీరు రెండింటినీ నిర్మిస్తున్నారు, వర్క్‌షీట్‌కు ప్రతిదానికీ సగం సేవ చేసే ఒక రాజీ నిలువు వరుసకు బదులు రెండు నిలువు వరుసలు అవసరం. అది వినియోగదారుని పేర్కొన్నా చిరునామా కొలనులేకపోతే, లేదా ఉపసర్గను పేర్కొన్నా పంపిణీ విధానంలేకపోతే, వాక్యం ఇంకా అసంపూర్ణం. పదబంధం అధికారికంగా అనిపిస్తుంది, కానీ ఇలా కాకుంటే సహాయ కేంద్ర టికెట్ ద్వారా కనుగొనబడే రూపకల్పనను పట్టుకోవడానికి అత్యంత చవకైన స్థలం ఇదే.

ప్రతి పొరకు సరిగ్గా ఒక పని ఇవ్వండి

L2TPv2 తన రెండు ముగింపు బిందువుల మధ్య PPP సెషన్‌లను మోసుకెళ్తుంది. PPP లింక్ చర్చలను మరియు అవి చర్చించబడినప్పుడు వినియోగదారు ధృవీకరణను నిర్వహిస్తుంది; L2TP ఎలాంటి గుప్తలేఖనాన్ని జోడించదు, కాబట్టి బేర్ L2TP డీమన్ IPsec భద్రతా సంబంధంలో ఏ భాగాన్నీ అమలు చేయదు మరియు మీరు ఇప్పటికే నమ్మే లింక్ లోపల మాత్రమే ఉంటుంది.

GRE అనేది రెండు చిరునామాల మధ్య ఎన్‌క్యాప్సులేషన్. ఇది నెట్‌వర్క్ పొర ప్యాకెట్‌లను తార్కిక ఓవర్‌లే ద్వారా మోసుకెళ్తుంది మరియు ఒంటరిగా గోప్యతను గానీ ధృవీకరించిన భాగస్వామి గుర్తింపును గానీ ఇవ్వదు. ఇది లోపం కాదు: శీర్షిక సరళంగా రూపొందించబడింది, తద్వారా పంపిణీ హార్డ్‌వేర్‌పై ప్రాసెసింగ్ చవకగా ఉంటుంది. ఫలితం ఏమిటంటే, GRE ఈ ప్యాకెట్‌ను రెండు చిరునామాల మధ్య ఎలా కదిలించాలనే ప్రశ్నకు మాత్రమే సమాధానం ఇస్తుంది, మరేదానికీ కాదు, మరియు మీరు దాన్ని అడగాల్సిన ప్రశ్న సరిగ్గా అదే.

తర్వాత IPsec ట్రాఫిక్‌ను ఎంచుకునే, భాగస్వాములను ధృవీకరించే, రక్షించమని చెప్పినదాన్ని గుప్తలేఖనం చేసే పొరగా మిగులుతుంది. ఏ ట్రాఫిక్‌ను రక్షిస్తుంది అనేది కాన్ఫిగరేషన్ నిర్ణయం, అది ముగింపు బిందువులు నిజంగా సృష్టించే ఎన్‌క్యాప్సులేషన్‌తో సరిపోలాలి, ఎందుకంటే GRE బాహ్య చిరునామా కోసం రాసిన విధానం అంతర్గత ఉపసర్గల కోసం రాసిన దాని నుండి భిన్నంగా ప్రవర్తిస్తుంది. GRE వివరణ పేలోడ్, GRE శీర్షిక మరియు బాహ్య డెలివరీ ప్రోటోకాల్‌ను స్పష్టంగా వేరు చేసి ఉంచుతుంది, మీ విధానానికి కూడా అదే వేరుచేయడం కావాలి.

కాన్ఫిగరేషన్‌కు ముందు ప్యాకెట్ మార్గాన్ని రాయండి

ఒక ప్యాకెట్ తీసుకుని జోడించబడే ప్రతి శీర్షికను జోడించబడే క్రమంలో జాబితా చేయండి, దాన్ని జోడించే పరికరాన్ని పేర్కొనండి. డయల్-ఇన్ వినియోగదారుకు ఇది సాధారణంగా IPsec లోపల L2TP లోపల PPP; సైట్ ఓవర్‌లేకు ఇది IPsec లోపల GRE లోపల అంతర్గత IP ప్యాకెట్. రెండు పరికరాలు ఒకే శీర్షికను జోడిస్తే, మీకు లూప్ లేదా రెట్టింపు సొరంగం ఉంది, ఎంత విధాన మార్పు చేసినా అది సరిచేయదు.

అదే జాబితా MTUను నిర్ణయిస్తుంది, ఎందుకంటే ఉపయోగించగల అంతర్గత పరిమాణం అనేది కొలిచిన మార్గపు MTU నుండి మీరు ఇప్పుడు జాబితా చేసిన శీర్షికలను తీసివేసినది, మరేదీ కాదు. ఫోరమ్ పోస్ట్ నుండి సంఖ్యను కాపీ చేయవద్దు: బాహ్య IP, UDP మరియు ESP ఓవర్‌హెడ్, తర్వాత GRE లేదా L2TP, తర్వాత వర్తించే చోట PPP కలిపి, మీరు నిజంగా కొలిచిన మార్గపు MTU నుండి తీసివేయండి. పెద్ద బదిలీల్లో మాత్రమే కనిపించే లక్షణాలు, లేదా స్థాపించబడి మొదటి పెద్ద ప్రతిస్పందనలో చనిపోయే సెషన్‌లు, సాధారణంగా ఆ కలపడం ఊహతో చేయబడినదానికి దారితీస్తాయి.

ప్రతి పొరను విడిగా, బయటి నుండి లోపలికి పరిశీలించండి

తనిఖీలను క్రమంగా నిర్వహించి మొదటి వైఫల్యం వద్ద ఆపండి. ప్రతి పంక్తీ వేరే ప్రశ్నకు సమాధానం ఇస్తుంది, కాబట్టి వైఫల్యం సొరంగం విరిగిందని చెప్పడానికి బదులు వర్క్‌షీట్‌లోని ఒక నిలువు వరుసను సూచిస్తుంది.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Cisco బాక్స్‌లో సమానమైనది పాత్రపై ఆధారపడి ఉంటుంది, ఖచ్చితమైన వాక్యనిర్మాణం వేదిక మరియు విడుదలపై ఆధారపడి ఉంటుంది: IPsec భాగస్వాములకు show crypto session, GRE లేదా సొరంగ ఇంటర్‌ఫేస్‌కు ఇంటర్‌ఫేస్ కౌంటర్లు, డయల్-ఇన్ పాత్రకు VPDN లేదా PPP ధృవీకరణ. PPPను ముగించే ఆదేశ సముదాయం GRE మద్దతు గురించి ఏమీ నిరూపించదు, పనిచేసే GRE ఇంటర్‌ఫేస్ PPP సేవ గురించి ఏమీ నిరూపించదు, కాబట్టి రేఖాచిత్రంలో ఉన్నది కాదు, మీరు నిజంగా కాన్ఫిగర్ చేసిన పాత్రను ధృవీకరించండి.

ప్రతి అవుట్‌పుట్‌ను అది చెందిన వర్క్‌షీట్ పంక్తి పక్కన నమోదు చేయండి. లోపం సక్రియంగా ఉన్నప్పుడు తీసుకున్న గమనికలు, తర్వాత జ్ఞాపకం నుండి మళ్లీ గీసిన టోపాలజీ కంటే ఎక్కువ విలువైనవి.

విడదీసే క్రమాన్ని సర్ది, తర్వాత మళ్లీ ధృవీకరించండి

విడదీయడం వెనుక క్రమంలో సాగుతుంది, ఒక కారణం ఉంది: రక్షిత ట్రాఫిక్‌ను IPsec విధానం నుండి బయటకు తీయండి, దాని కోసం రాసిన ఎన్‌క్యాప్సులేషన్‌ను తొలగించే ముందు, లేకపోతే విధానం ఇక లేని ఇంటర్‌ఫేస్‌ను చూపుతూనే ఉంటుంది మరియు తదుపరి కాన్ఫిగరేషన్ లోడ్ సంబంధం లేని చోట విఫలమవుతుంది. Linuxలో దీని అర్థం సొరంగ ఇంటర్‌ఫేస్‌కు ముందు స్థితి మరియు విధాన నమోదులను తొలగించడం; రౌటర్‌లో, సొరంగానికి ముందు క్రిప్టో మ్యాప్ లేదా ప్రొఫైల్ నమోదును తొలగించడం.

పునర్నిర్మాణం తర్వాత, అంగీకారపు నాలుగు పరిశీలనలను ఒక్కొక్కటిగా పునరావృతం చేయండి: బాహ్య చేరుకోగలిగేత, స్థాపించబడిన IPsec సంఘం, రూపకల్పన ఒకటి చేర్చిన చోట స్థాపించబడిన PPP సెషన్, మరియు నిజమైన గమ్య చిరునామాకు అంతర్గత పంపిణీ. ఒక ఆకుపచ్చ కాంతి మిగిలిన మూడింటికి సాక్ష్యం కాదు, ఆ అంతరమే ఉత్పత్తిలో ఎక్కువ కాలం నిలిచే వైఫల్యం — సొరంగం పైన ఉంది, గుప్తలేఖనం చేయబడింది, ఏమీ పంపడం లేదు, ఎందుకంటే అంతర్గత మార్గం ఎప్పుడూ జోడించబడలేదు.

నింపిన వర్క్‌షీట్‌ను పరికర కాన్ఫిగరేషన్ పక్కన ఉంచండి. మీరు నింపలేని ఏ నిలువు వరుసైనా పని కేటాయించని పొర, పని లేని పొర సాధారణంగా స్టాక్‌లో ఉండకూడని పొర.