సైట్-టు-సైట్ VPN కోసం ఏమి నమోదు చేయాలి: సెలెక్టర్లు మరియు పరిధి

టన్నెల్ అమలైన ఆరు నెలల తర్వాత కొత్త సబ్‌నెట్ విధానంతో సరిపోలడం ఆగిపోతుంది, పంచుకున్న డ్రైవ్‌లోని ఏకైక పత్రం కార్యాలయ VPN అని మాత్రమే చెబుతుంది. సెలెక్టర్ రికార్డు నిరోధించే వైఫల్యం అదే, అది నిర్దిష్టం: చిరునామాల సమితి మారింది, పత్రాలు మారలేదు. రికార్డును సరిగ్గా రాయడం అంటే అనేక చిరునామా సమితులలో మీరు ఏది వర్ణిస్తున్నారో తెలుసుకోవడం, మరియు మీరు కాన్ఫిగర్ చేసినది కాకుండా రెండో పక్షం నిజంగా అమలు చేసేది నమోదు చేయడం.

కాన్ఫిగర్ చేసినది అంగీకరించినది కాదు

విధాన ఆధారిత IPsec టన్నెల్‌లో ప్రతి పక్షం ట్రాఫిక్ సెలెక్టర్లను ప్రతిపాదిస్తుంది: చైల్డ్ అసోసియేషన్ కోసం మూలం మరియు గమ్యం పరిధులు. స్పందించే పక్షం ఆ ప్రతిపాదనను ఇరుకు చేసుకోవచ్చు, కాబట్టి ఇన్‌స్టాల్ అయిన అసోసియేషన్ కాన్ఫిగరేషన్‌లో జాబితా చేసిన దానికంటే తక్కువ కవర్ చేయవచ్చు. కాన్ఫిగరేషన్‌ను కాపీ చేసే రికార్డు ఒక ఉద్దేశాన్ని వివరిస్తుంది, ప్రస్తుత రక్షణ పరిధిని కాదు. రెండూ నిశ్శబ్దంగా దూరమవుతాయి, టన్నెల్ స్థితి పేజీలో దాన్ని చూపించేది ఏదీ లేదు.

మీరు గమనించిన తేదీతో రెండు నిలువు వరుసలను ఉంచండి. కాన్ఫిగర్ చేసిన సెలెక్టర్ మీరు ఉద్దేశించినది; అంగీకరించినది కర్నెల్ ఇప్పుడు అమలు చేస్తున్నది. అవి భిన్నమైనప్పుడు, ఆ భేదం రూటింగ్ బగ్ కంటే చాలా ఎక్కువసార్లు ఊహించని వైఫల్యాన్ని వివరిస్తుంది.

ఒక అసోసియేషన్ కాన్ఫిగర్ చేసిన ప్రతి జోడీని ప్రతినిధ్యం చేయదు. అనేక సెలెక్టర్ కలయికలు ఉన్న టన్నెల్‌కు చివరికి అనేక చైల్డ్ అసోసియేషన్లు ఉండవచ్చు, వాటిలో ఒకటి మాత్రమే జాబితా చేసే రికార్డు అసంపూర్ణ జాబితా. సంక్షేపించడం బదులు వాటిని ఒక్కొక్కటిగా లెక్కించండి.

రూట్ ఆధారిత టన్నెళ్లు భిన్నంగా ఎంచుకుంటాయి

రూట్ ఆధారిత ఇంటర్‌ఫేస్‌తో, టన్నెల్‌లోకి ఏది ప్రవేశిస్తుందో రూటింగ్ పట్టిక నిర్ణయిస్తుంది, సెలెక్టర్లు ఉద్దేశపూర్వకంగా విశాలంగా ఉండవచ్చు. ఇది నిర్లక్ష్యం కాదు, చెల్లుబాటు అయ్యే రూపకల్పన, రికార్డు దాన్ని అలాగే వివరించాలి. రూట్, అది సూచించే ఇంటర్‌ఫేస్, మరియు ఏ సేవలు చేరుకోగలవో పరిమితం చేసే ఫైర్‌వాల్ విధానం రాయండి. రక్షణ పరిధి ఉద్దేశపూర్వకంగా విశాలం, ఇరుకు చేయడం సేవా పరిధి చేస్తుంది.

విధాన ఆధారిత టెంప్లేట్‌ను రూట్ ఆధారిత టన్నెల్‌పై కాపీ చేయడం అమరిక ఉపయోగించని యంత్రాంగాన్ని వివరించే పత్రాన్ని సృష్టిస్తుంది. తదుపరి ఇంజనీర్ అక్కడ ఎప్పుడూ ఉండకూడని సెలెక్టర్లను వెతుకుతాడు, టన్నెల్ తప్పుగా కాన్ఫిగర్ అయిందని నిర్ణయించుకుంటాడు, నిజానికి అది దుర్బలంగా నమోదు చేయబడింది మాత్రమే.

అనువాదం అదే పట్టికలో ఉంటుంది

NAT రెండో పక్షానికి వేరే పరిధిని చూపినప్పుడు, అసలు మరియు అనువదించిన ప్రిఫిక్స్‌లను కలిపి నమోదు చేయండి. సెలెక్టర్లు మరియు యాక్సెస్ నియమాలు ఏ దశలో వాటితో సరిపోతాయో గుర్తించండి, ఎందుకంటే క్రమమే దూరపు పక్షం మీరు రాసిన చిరునామాను ఎప్పుడైనా చూస్తుందా అని నిర్ణయిస్తుంది. రెండు పరిధులలో ఒకటి మాత్రమే ఉన్న పట్టిక పట్టిక లేకపోవడం కంటే అధ్వానం, అది పూర్తిగా కనిపిస్తుంది.

NAT మార్పు తర్వాత పనిచేస్తున్న టన్నెల్‌ను విరగ్గొట్టే వివరం ఇదే: సెలెక్టర్ ఇప్పటికీ అసలు ప్రిఫిక్స్‌తో సరిపోతుంది, రెండో పక్షానికి ఇప్పుడు అనువదించినది అందుతుంది, దాని తిరిగి వచ్చే రూట్ ఇక లేని చిరునామాను సూచిస్తుంది. రెండూ సరిపోలడం ఆపే క్షణంలో ఏదీ లోపాన్ని నమోదు చేయదు.

ప్రైవేట్ DNS అదే చోట ఉంటుంది. సంబంధిత సైట్ నుండి ఉపయోగించలేని చిరునామాకు రిజాల్వ్ అయ్యే పేరు మద్దతు టికెట్ జోడించిన పత్ర లోపం, నింద టన్నెల్‌పై పడుతుంది.

సేవా అవసరాన్ని జోడించండి

రక్షిత పరిధి అనుమతి జాబితా కాదు. ఏ సేవలు ఏ మూలం నుండి చేరుకోగలగాలి, వాటి వెనుక ఉన్న అప్లికేషన్ యజమాని ఎవరు అని రాయండి. ఆ రెండు ఫీల్డ్‌లు వేర్వేరు ప్రశ్నలకు జవాబిస్తాయి, వాటిని కలపడం వల్ల భద్రతా సమీక్ష చివరికి యాక్సెస్ గురించి కాకుండా రూటింగ్ గురించి వాదిస్తుంది.

తర్వాత ఈ నియమాన్ని నిర్వహించే నెట్‌వర్క్ నిర్వాహకుడిని పేర్కొనండి. యజమాని లేని సెలెక్టర్ జాబితా నిశ్శబ్దంగా పాతబడుతుంది, రాత్రి రెండు గంటలకు టన్నెల్ విరిగినప్పుడు పాతదాన్ని తప్పు నుండి వేరు చేయలేము. మార్పు ఉద్దేశపూర్వకమని నిర్ధారించగల వ్యక్తి కూడా యజమానే.

రికార్డును పరీక్షా ప్రణాళికగా మార్చండి

అవసరమైన ప్రతి మార్గానికి ప్రతినిధి మూలం మరియు గమ్యం హోస్ట్‌ను ఎంచుకోండి, ఆశించిన రూట్, సేవ మరియు ప్రతిస్పందన గేట్‌వేను గుర్తించండి. ఇది పత్రాన్ని వివరణ నుండి పరీక్షా ప్రణాళికగా మారుస్తుంది. క్రింది ఆదేశంతో సక్రియ అసోసియేషన్‌ను చదివి, మీరు రాసిన అంగీకరించిన వరుసతో పోల్చండి.

swanctl --list-sas

ఐదు పంక్తుల అస్థిపంజరం సాధారణంగా రికార్డును నిజాయితీగా ఉంచడానికి సరిపోతుంది. క్రింది సంస్కరణ కత్తిరించకుండా మార్పు టికెట్‌లో ఇముడుతుంది:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

గేట్‌వే వరకు మాత్రమే పింగ్ చేయడం ఆమోద పరీక్ష కాదు. అది ఎప్పుడూ ట్రాన్సిట్ మార్గాన్ని ఉపయోగించదు, కాబట్టి ఫార్వర్డ్ అయ్యే ప్రతి ప్రవాహం విఫలమైనప్పుడు కూడా అది పాస్ కావచ్చు. ఒక వైపు హోస్ట్ నుండి మరో వైపు సేవకు పరీక్షించి, ప్రతిస్పందన టన్నెల్ ద్వారా వస్తుందని నిర్ధారించండి. పింగ్ మాత్రమే పాస్ అయితే, నిరోధించడానికి రాసిన అదే ఫార్వర్డింగ్ సమస్యను రికార్డు ఇప్పుడే కనుగొంది. ఫార్వర్డింగ్ గురించి strongSwan పత్రం Linux పీర్‌పై సెలెక్టర్లు, రూట్లు మరియు ఫార్వర్డింగ్ ఎలా పరస్పరం పనిచేస్తాయో వివరిస్తుంది.