VPN site-to-site na nakabatay sa ruta vs. sa patakaran: ano ang kaibahan
Pinipili ng IPsec na nakabatay sa patakaran ang trapiko sa pamamagitan ng selektor; ipinapadala ng nakabatay sa ruta ito sa interface ng tunnel. Pareho pa ring kailangan ng mga tuntunin ng firewall at ruta ng pagbabalik.
Pinoprotektahan ng dalawang disenyo ang parehong trapiko gamit ang parehong makinarya ng IPsec, at nagkakaiba sila sa kung ano ang nagpapasya kung aling packet ang pumapasok sa tunnel. Sa koneksyon na nakabatay sa patakaran, ang napagkasunduang selektor ng trapiko ang gumagawa niyon; sa nakabatay sa ruta, isang rutang tumuturo sa interface ng tunnel ang gumagawa niyon. Ang paghahalo sa dalawa ay gumagawa ng pamilyar na usapan sa suporta kung saan iniuulat ng tunnel na nakatayo ito habang walang naaabot ang aplikasyon. Pinakamahalaga ang pagkakaiba kapag nagdadagdag ka ng network, nagpapatakbo ng protocol ng routing, o nagde-debug ng landas na tahimik na lumalabas sa maling labasan.
Dalawang paraan ng pagpapasya kung ano ang pumapasok sa tunnel
Ang VPN na nakabatay sa patakaran ay bumubuo ng patakaran sa seguridad na tumutugma sa mga prefix ng pinagmulan at destinasyon, pagkatapos ay ini-encrypt ang anumang umaangkop. Kailangang makipagkasundo ang kapareha sa mga tugmang selektor, kaya ang epektibong saklaw ay nauuwi sa interseksyon ng iminungkahi ng dalawang panig. Walang protektado sa labas ng interseksyong iyon, anuman ang sabihin ng talahanayan ng routing.
Ang VPN na nakabatay sa ruta ay gumagawa ng interface na kumakatawan sa tunnel at hinahayaang magpadala ng trapiko ang talahanayan ng routing papasok dito. Nag-i-install pa rin ang IKE daemon ng estado at patakaran sa bawat interface, at iyon ang detalyeng nilalaktawan ng mga tao kapag nagpasya silang pinalitan na ng ruta ang encryption. Parehong nag-e-encrypt ang dalawang disenyo gamit ang IPsec; ang mekanismo ng pagpili lang ang naiiba.
Basahin ang paghahambing sa ibaba bilang isang hanay ng mga tandang-palya at hindi bilang tabla ng iskor, dahil walang kolumnang nananalo nang mag-isa.
| Aspect | Policy-based | Route-based |
|---|---|---|
| What selects traffic | Negotiated selectors | A route into the tunnel interface |
| Adding a network | Edit selectors on both peers | Add a route, widen the selector once |
| Dynamic routing | Awkward to run over the tunnel | Runs over the interface directly |
| Typical failure | Tunnel up, host outside the selector | Tunnel up, no route or wrong source |
Nakabatay sa patakaran: ang selektor ang kontrata
Napagkasunduan ang mga selektor, hindi lang naka-configure. Iminungkahi ang 10.10.0.0/16 sa isang panig at 10.10.1.0/24 sa kabila, at sasaklawin ng asosasyon ang napagkasunduan ng negosasyon habang nananatili sa labas ang bawat ibang host.
Basahin ang naka-install na estado sa halip na ang file ng configuration. Sa kaparehang Linux, ang sariling mga talahanayan ng kernel ang batayang katotohanan, at ipinapakita nila kung ano ang nakaligtas sa negosasyon. Ang patakarang nagbabanggit ng tamang prefix na walang tugmang estado ay nangangahulugang hindi kailanman bumangon ang asosasyon. Ang estadong ipinares sa patakaran para sa maling prefix ay ang kabaligtarang problema, at gumagawa ito ng tunnel na mukhang malusog habang walang naaabot ang isang subnet.
sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sasIhambing ang dalawang output sa mga prefix na inaakala mong pinoprotektahan. Ang isang paghahambing na iyon ang lumulutas sa karamihan ng ulat ng gumaganang tunnel na may hindi maabot na server. Itinuturo rin nito kung aling kapareha ang babaguhin, dahil ang pagkakaiba ay karaniwang nakikita sa isang direksyon lamang.
Nakabatay sa ruta: ang interface ang kontrata
Binibigyan ng interface ng XFRM ang tunnel ng pangalan at pagkakakilanlan, at naaabot ito ng trapiko dahil sinasabi ng talahanayan ng routing. Ang ilang malayong prefix ay nagiging problema sa routing sa halip na problema sa selektor, at maaaring i-anunsyo sila ng protocol ng routing. Iyon ang tunay na pakinabang, hindi ang encryption.
Hindi inaalis ng interface ang pangangailangan sa patakaran. Nag-i-install ang daemon ng mga tuntunin sa bawat interface na nakatali sa pagkakakilanlan ng interface, kaya ang packet na dumarating sa maling interface ay nabigo pa rin. Nabigo rin ang address ng pinagmulan na hindi tatanggapin ng kapareha, kahit may perpektong ruta. Ang nakabatay sa ruta ay nangangahulugang ang ruta ang nagpapasya sa pagpasok, hindi na nawala ang patakaran.
sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10Panoorin ang mga counter ng interface kapag nakalagay na ang ruta. Ang rutang umiiral habang nananatiling zero ang mga counter ay nangangahulugang walang itinatapat sa tunnel, na karaniwang tumuturo sa kulang na estado sa halip na kulang na ruta.
Saan talaga naghihiwalay ang dalawang disenyo
Ang pagdaragdag ng network ang pinakamalinis na pagsubok kung aling modelo ang bagay sa iyo. Ang disenyong nakabatay sa ruta ay nagdadagdag ng isang ruta at pinalalawak ang selektor nang hindi hihigit sa isang beses, samantalang ang nakabatay sa patakaran ay nag-e-edit ng mga pares ng prefix sa dalawang kapareha at muling nakikipagnegosasyon. Ang dalawang matatag na subnet ay ginagawang walang halaga ang pag-edit na iyon, at ang dalawampu ay ginagawa itong proyekto.
Walang modelong pumapalit sa firewall, at ang mga paghahambing ay karaniwang humihinto bago ang puntong ito. Ang malawak na selektor o malawak na ruta ang nagpapasya kung ano ang ini-encrypt, hindi kung ano ang pinapayagan.
Naiiba rin ang pag-uugali ng MTU sa praktika. Binabawasan ng encapsulation ang magagamit na payload, at ang interface na nakabatay sa ruta ay may sariling MTU, kaya ang pagsasara ng MSS sa dalawang gateway ay umiiwas sa sintomas ng itim na butas kung saan dumarating ang maliliit na tugon at nawawala ang malalaki. Nakakaharap din ng mga tunnel na nakabatay sa patakaran ang parehong pader mula sa kabilang panig, dahil walang sinasabi ang selektor tungkol sa laki ng packet. Itakda ang pagsasara nang sinasadya sa halip na sisihin ang kapareha.
Paglipat nang hindi nawawala ang daan pabalik
Itala ang umiiral na mga pares ng prefix bago baguhin ang anuman, pagkatapos ay ilipat ang isang landas ng aplikasyon at panoorin ito mula simula hanggang wakas. Ang tunnel na nabubuo ay hindi tunnel na nagpapasa, at lumalabas ang pagkakaiba sa direksyon ng tugon.
Kapag kumonekta ang mga kapareha ngunit hindi kaya ng mga host sa LAN, siyasatin ang ruta ng pagbabalik at ang address ng pinagmulan na gagamitin ng malayong host. Ang host na may dalawang interface ay maaaring tumugon mula sa mali, at walang pagbabago sa selektor ang nag-aayos niyon. Kunin ang trapiko sa dalawang dulo bago i-edit ang mga algorithm.
ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-connsPanatilihin ang landas ng pamamahala na hindi umaasa sa tunnel habang nagtatrabaho. Mas madali ang pagbabalik kapag ang sariling access ng gateway ay hindi sumasakay sa koneksyong ini-debug mo.