VPN యొక్క ప్రత్యేక చిరునామాపై నిజంగా ఎవరు సమాధానం ఇస్తారు?

సంస్థ కేటాయింపులో ఉపయోగించకుండా పడి ఉన్న చిరునామా శ్రోత కాదు, దాన్ని firewall-లో చేర్చడం ఒకటి కూడా సృష్టించదు. ఆ చిరునామాపై IKEని ఏదో ముగించాలి, గేట్‌వే చిరునామాను కలిగి ఉందో లేదా పైనున్న పరికరం దాన్ని అనువదిస్తుందో అనే దానిపై పద్ధతి మారుతుంది. రెండింటినీ వేరు చేసేది ప్యాకెట్ మార్గం, ఎవరైనా మార్పు అభ్యర్థన తెరిచే ముందు మీకు ఏ ప్లాట్‌ఫారమ్ లక్షణం కావాలో కూడా అదే నిర్ణయిస్తుంది. మొదట మార్గాన్ని నమూనా చేయండి, తర్వాత ఎంచుకోండి.

చిరునామా వెనుక ప్యాకెట్ మార్గం

సహచరుడు తనకు ఇచ్చిన చిరునామాకు IKE పంపుతాడు, UDP 500లో లేదా NAT ట్రావర్సల్ ఉన్నప్పుడు UDP 4500లో. మార్గంలో ఆ చిరునామాను కలిగి ఉన్న ఏ పరికరమైనా డేటాగ్రామ్‌ను స్థానికంగా స్వీకరించి సమాధానం ఇస్తుంది, లేదా వేరే చోటికి పంపుతుంది. ఇవి రెండే సాధ్యతలు, ఈ వ్యాసంలో మిగిలినదంతా వీటిలో ఏది నిజమో దాని నుండి వస్తుంది.

స్థానికంగా స్వీకరించడం అంటే ఆ పరికరంలో ఆ చిరునామాకు బద్ధమైన సాకెట్ ఉంది. పంపడం అంటే డేటాగ్రామ్ తిరిగి వ్రాయబడి మరో చివరి బిందువుకు పంపబడుతుంది, అప్పుడు సాకెట్ అక్కడ ఉంటుంది. UDP 500ని అనుమతించే firewall నియమం ఈ రెండింటిలో ఏది జరుగుతోందో మీకు చెప్పదు.

ఏదీ తాకక ముందు రికార్డు వ్రాయండి: సహచరులు సంప్రదించే చిరునామా, పైనున్న నెట్‌వర్క్ దాన్ని ఎలా అందిస్తుంది, దాన్ని స్వీకరించే స్థానిక ఇంటర్‌ఫేస్ లేదా తార్కిక చివరి బిందువు, మరియు IKEకి సమాధానం ఇచ్చే ప్రక్రియ. నాలుగు పంక్తులు, ప్రతిదీ తనిఖీ చేయవచ్చు. వాటిలో ఒకటి తెలియకపోతే, ఆ తెలియనిదే రూపకల్పన పని, తర్వాత నిర్ణయించాల్సిన అమలు వివరం కాదు. మార్పు అభ్యర్థన ఆమోదించిన తర్వాత వాటిని నింపడమే తప్పు పరికరంలో అనువాద నియమం చేరే మార్గం.

నమూనా A: గేట్‌వే చిరునామాను కలిగి ఉంది

మొదటి నమూనాలో గేట్‌వే చిరునామాను తానే కలిగి ఉంటుంది, ఉన్న ఇంటర్‌ఫేస్‌పై ద్వితీయ చిరునామాగా, ప్రత్యేక ఇంటర్‌ఫేస్‌పై చిరునామాగా, లేదా ప్లాట్‌ఫారమ్ టన్నెల్ చివరి బిందువుగా మద్దతిచ్చే loopbackగా. ఇవి వేర్వేరు కాన్ఫిగరేషన్ మార్గాలున్న మూడు వేర్వేరు లక్షణాలు, ఒకదానికి మద్దతిచ్చే ప్లాట్‌ఫారమ్ మిగిలినవాటికి ఇవ్వకపోవచ్చు.

దాని చుట్టూ రూపకల్పన చేయక ముందు ప్లాట్‌ఫారమ్ మరియు విడుదల సరిగ్గా ఈ అమరికకు మద్దతిస్తాయని నిర్ధారించండి. రూట్ చేసిన బ్లాక్, ఇంటర్‌ఫేస్‌పై అదనపు చిరునామా మరియు loopback చివరి బిందువు పరస్పరం మార్చుకోగలిగినవి కావు, ఒక విడుదల పత్రాలు తదుపరిది అలాగే ప్రవర్తిస్తుందని హామీ ఇవ్వవు.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

వినిపించే సాకెట్‌యే సాక్ష్యం. చిరునామాకు ఏదీ బద్ధం కాకపోతే, రూటింగ్ పట్టిక ఏం చెప్పినా గేట్‌వే ముగింపు కాదు, ప్యాకెట్ క్యాప్చర్ డేటాగ్రామ్‌లు వస్తున్నట్లు కానీ సమాధానం ఇచ్చేది లేదని చూపుతుంది.

టోపాలజీలో వేరే చోట ఇప్పటికే ఉన్న సబ్‌నెట్‌లో రెండో ఇంటర్‌ఫేస్ పెట్టవద్దు, ప్లాట్‌ఫారమ్ దాన్ని సరిచేస్తుందని భావించవద్దు. ఒకదానిపై ఒకటి అతివ్యాప్తి చెందే ఇంటర్‌ఫేస్ సబ్‌నెట్‌లు అస్పష్ట మూల ఎంపికను కలిగిస్తాయి, చాలా ప్లాట్‌ఫారమ్‌లలో కాన్ఫిగర్ చేయడానికి పూర్తి నిరాకరణను కలిగిస్తాయి.

నమూనా B: పైనున్న పరికరం దాన్ని అనువదిస్తుంది

రెండో నమూనాలో పైనున్న firewall ప్రత్యేక చిరునామాను కలిగి ఉంటుంది, ట్రాఫిక్‌ను మరో VPN గేట్‌వేకి పంపుతుంది. అది తిరిగి వచ్చే మార్గంతో కూడిన గమ్య అనువాదం, అలాగే పత్రీకరించబడితే అది పూర్తిగా చెల్లుబాటు అయ్యే రూపకల్పన.

ఇది పైనున్న పరికరం స్థానిక VPN సాకెట్‌ను పొందిందనే సాక్ష్యం ఏమీ కాదు. అనువాదం ప్యాకెట్‌లను పంపుతుంది; అది పైనున్న పెట్టెను IKE సమాధానకుడిగా చేయదు. పైనున్న నియమం తొలగించబడినా లేదా దాని తిరిగి వచ్చే మార్గం తెగినా, గేట్‌వే ఆరోగ్యంగా, దాని స్వంత శ్రోతలు చెక్కుచెదరకుండా ఉన్నా VPN ఆగిపోతుంది.

రెండు చిరునామాలను నమోదు చేయండి: సహచరులు సంప్రదించేది మరియు గేట్‌వే నిజంగా చూసేది. తర్వాత రవాణా మరియు తిరిగి వచ్చే మార్గాన్ని నమోదు చేయండి, ఎందుకంటే UDP 500కి పనిచేసి కానీ ఎన్‌క్యాప్సులేట్ చేసిన ESPకి పనిచేయని అనువాదం కనెక్ట్ అయి తర్వాత ట్రాఫిక్‌ను మోయడంలో విఫలమవుతుంది, ఇది తర్వాత డీబగ్ చేయడానికి గందరగోళకరమైన వైఫల్యం.

గుర్తింపు బాహ్య చిరునామా కాదు

IPsec టన్నెల్ చివరి బిందువును అది రక్షించే ట్రాఫిక్ నుండి వేరు చేస్తుంది, మరియు నిర్మాణం ఆ నిర్ణయాలను వేర్వేరు చోట్ల ఉంచుతుంది. సహచరులు సంప్రదించే చిరునామాను మార్చడం ఏ అంతర్గత ప్రిఫిక్స్‌లు అనుమతించబడతాయి, ఏ మార్గాలు ఇన్‌స్టాల్ అవుతాయి లేదా సెషన్ ఏ వనరులను చేరుకోగలదు అనేది స్వయంచాలకంగా మార్చదు.

ప్రామాణీకరించిన గుర్తింపు మళ్లీ వేరు. IKEv2 బాహ్య ప్యాకెట్ చిరునామాతో సరిపోలాల్సిన అవసరం లేని గుర్తింపు పేలోడ్ మరియు ప్రామాణీకరణ మార్పిడిని మోస్తుంది, అందుకే అనువదించిన రూపకల్పన కూడా ఇంకా సరిగ్గా ప్రామాణీకరించగలదు.

ఆ స్వాతంత్ర్యం ఉపయోగకరం మరియు అదే సమయంలో ఉచ్చు. ఒక సాధారణ శ్రోతకు పరిష్కరించబడే రెండు DNS పేర్లు వేర్వేరు VPN బ్యాకెండ్‌లను ఎంచుకోవు, ఒక గుర్తింపును పేర్కొనే ధృవపత్రం మరొకటి ఆశించే సహచరుడిని సంతృప్తిపరచదు. చిరునామా ఒక్కటే దాన్ని నిర్ణయిస్తుందని భావించే ముందు సహచరుడు ఏమి ధృవీకరిస్తాడో నిర్ధారించండి.

ఒక కనెక్షన్‌ను గమనించి రూపకల్పనను అంగీకరించండి

కొత్త అధికృత కనెక్షన్ నిజంగా ఎక్కడ అందించబడుతుంది, ఏ గుర్తింపు సమాధానం ఇస్తుంది, తర్వాత ఏ ప్రైవేట్ ప్రవాహం అనుమతించబడుతుంది అనేది పరిశీలించండి. మూడు పరిశీలనలు, మూడు వేర్వేరు పొరలు, చిరునామా విజయవంతమైన పబ్లిక్ శోధన వాటిలో ఒకటి కూడా పరీక్షించదు.

ప్రతికూల సందర్భాన్ని కూడా ఉంచుకోండి: అంగీకరించకూడని సహచరుడు, లేదా చేరుకోకూడని అంతర్గత ప్రిఫిక్స్, మార్పు తర్వాత ధృవీకరించబడినది. ఆరంభంలో వ్రాసిన రికార్డే, రూపకల్పనను జ్ఞాపకం నుండి తిరిగి నిర్మించకుండా ఆ పరీక్షను సాధ్యం చేస్తుంది.

ఇవన్నీ ఉద్దేశం, ప్రతి firewall అదనపు చిరునామాతో ఏమి చేయగలదనే సాధారణ వాదనపై ఆధారపడే బదులు, నెట్‌వర్క్ యజమాని మద్దతున్న కేటాయింపు పద్ధతిని ఎంచుకోవడానికి అనుమతించడం. ఆ వాదనే ఈ రూపకల్పనలు తప్పు పడే స్థలం, ఎందుకంటే అది ప్రతి ప్లాట్‌ఫారమ్‌లో నమ్మదగినట్లు వినిపిస్తుంది, సాధారణంగా ఏదానిలోనూ నిజం కాదు. నాలుగు పంక్తుల రికార్డు దాన్ని మీ ప్లాట్‌ఫారమ్ కోసం పది నిమిషాల్లో నిర్ణయిస్తుంది.