Sino talaga ang sumasagot sa dedikadong address ng VPN?

Ang address na nakaupo nang hindi ginagamit sa alokasyon ng organisasyon ay hindi tagapakinig, at ang pagdaragdag nito sa firewall ay hindi gumagawa ng isa. May isang bagay na dapat magtapos ng IKE sa address na iyon, at nag-iiba ang mekanismo depende sa kung ang gateway ang may-ari ng address o isang aparatong upstream ang nagtatranslate nito. Ang landas ng packet ang nagtatangi sa dalawa, at ito rin ang nagpapasya kung aling katangian ng platform ang kailangan mo bago magbukas ng kahilingan sa pagbabago ang sinuman. I-modelo muna ang landas, pagkatapos pumili.

Ang landas ng packet sa likod ng address

Nagpapadala ang peer ng IKE sa address na ibinigay dito, sa UDP 500 o sa UDP 4500 kapag may kinalaman ang NAT traversal. Anumang aparato na may hawak ng address na iyon sa landas ay tumatanggap ng datagram nang lokal at sumasagot dito, o ipinapasa ito sa ibang lugar. Iyon lang ang dalawang posibilidad, at ang lahat ng iba pa sa artikulong ito ay nagmumula sa kung alin ang totoo.

Ang lokal na pagtanggap ay nangangahulugang may socket sa aparatong iyon, nakatali sa address na iyon. Ang pagpapasa ay nangangahulugang muling isinusulat ang datagram at ipinapadala ito sa ibang dulo, na siyang may socket pagkatapos. Ang tuntunin sa firewall na pumapayag sa UDP 500 ay walang sinasabi sa iyo tungkol sa alin sa dalawa ang nangyayari.

Isulat ang talaan bago mo hawakan ang anuman: ang address na kinokontak ng mga peer, kung paano ito inihahatid ng upstream network, ang lokal na interface o lohikal na dulo na tumatanggap nito, at ang prosesong sumasagot sa IKE. Apat na linya, at bawat isa ay masusuri. Kapag may isang hindi alam, ang hindi alam na iyon ay ang gawaing disenyo at hindi detalyeng implementasyon na pasyaan mamaya. Ang pagsagot sa mga ito pagkatapos maaprubahan ang kahilingan sa pagbabago ay ang paraan kung paano nadadagdag ang tuntunin ng pagsasalin sa maling aparato.

Modelo A: pagmamay-ari ng gateway ang address

Sa unang modelo, hawak ng gateway mismo ang address, bilang pangalawang address sa umiiral na interface, bilang address sa dedikadong interface, o bilang loopback na sinusuportahan ng platform bilang dulo ng tunnel. Tatlong magkakaibang katangian ito na may tatlong magkakaibang landas ng konfigurasyon, at ang platform na sumusuporta sa isa ay maaaring hindi sumusuporta sa iba.

Tiyakin na sinusuportahan ng platform at release ang eksaktong kaayusang ito bago ka magdisenyo sa paligid nito. Ang niruta na bloke, karagdagang address sa interface at loopback na dulo ay hindi mapagpapalit, at ang dokumentasyon ng isang release ay hindi nangangako na ang susunod ay ganoon din ang gagawin.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Ang socket na nakikinig ang patunay. Kung walang nakatali sa address, ang gateway ay hindi ang tagatapos anuman ang sabihin ng routing table, at ang paghuli ng packet ay magpapakita ng mga datagram na dumarating na walang sumasagot sa kanila.

Huwag maglagay ng pangalawang interface sa subnet na mayroon na sa ibang lugar sa topolohiya at huwag ipalagay na aayusin ito ng platform. Ang magkakapatong na subnet ng interface ay nagdudulot ng malabong pagpili ng pinagmulan at, sa maraming platform, ng tahasang pagtanggi na i-configure.

Modelo B: nagtatranslate ito ng aparatong upstream

Sa ikalawang modelo, hawak ng firewall sa upstream ang dedikadong address at ipinapasa ang trapiko sa ibang gateway ng VPN. Iyon ay pagsasalin ng destinasyon na may landas pabalik, at ito ay ganap na wastong disenyo hangga't naidokumento ito nang gayon.

Ang hindi ito, ay patunay na ang aparatong upstream ay nakakuha ng lokal na socket ng VPN. Ipinapasa ng pagsasalin ang mga packet; hindi nito ginagawang tagasagot ng IKE ang itaas na kahon. Kung tatanggalin ang tuntunin sa upstream o masisira ang landas pabalik nito, hihinto ang VPN kahit malusog ang gateway at buo ang sarili nitong tagapakinig.

Itala ang dalawang address: ang kinokontak ng mga peer at ang aktwal na nakikita ng gateway. Pagkatapos itala ang transport at landas pabalik, dahil ang pagsasaling gumagana sa UDP 500 ngunit hindi sa naka-encapsulate na ESP ay kokonekta at pagkatapos ay mabibigo sa pagdadala ng trapiko, na nakalilitong kabiguan para i-debug mamaya.

Ang pagkakakilanlan ay hindi ang panlabas na address

Hinihiwalay ng IPsec ang dulo ng tunnel sa trapikong pinoprotektahan nito, at inilalagay ng arkitektura ang mga pasyang iyon sa magkakaibang lugar. Ang pagbabago ng address na kinokontak ng mga peer ay hindi awtomatikong nagbabago kung aling mga panloob na prefix ang pinapayagan, aling mga ruta ang naka-install, o aling mga mapagkukunan ang maaaring maabot ng sesyon.

Ang napatunayang pagkakakilanlan ay hiwalay na naman. Nagdadala ang IKEv2 ng payload ng pagkakakilanlan at palitan ng pagpapatunay na hindi kailangang tumugma sa panlabas na address ng packet, at iyon mismo ang dahilan kung bakit ang isinaling disenyo ay makapagpapatunay pa rin nang tama.

Ang kalayaan na iyon ay kapaki-pakinabang at bitag din. Dalawang pangalang DNS na nagreresolba sa isang ordinaryong tagapakinig ay hindi pumipili ng magkakaibang backend ng VPN, at ang sertipikong nagngangalan ng isang pagkakakilanlan ay hindi masisiyahan ang peer na umaasa ng iba. Tiyakin kung ano ang vine-validate ng peer bago mo ipalagay na ang address lang ang nagpapasya niyon.

Tanggapin ang disenyo sa pamamagitan ng pagmamasid sa isang koneksyon

Suriin kung saan talaga inihahatid ang bagong awtorisadong koneksyon, aling pagkakakilanlan ang sumasagot at aling pribadong daloy ang pinapayagan pagkatapos. Tatlong obserbasyon, tatlong magkakaibang antas, at ang matagumpay na pampublikong paghahanap ng address ay hindi sumusubok sa alinman sa mga iyon.

Panatilihin din ang negatibong kaso: peer na hindi dapat tanggapin, o panloob na prefix na hindi dapat maabot, na na-verify pagkatapos ng pagbabago. Ang talaang isinulat mo sa simula ang siyang nagpapangyaring posible ang pagsubok na iyon nang hindi binubuo muli ang disenyo mula sa alaala.

Ang punto ng lahat ng ito ay hayaang pumili ang may-ari ng network ng sinusuportahang paraan ng alokasyon sa halip na umasa sa pangkalahatang pahayag tungkol sa kung ano ang kayang gawin ng bawat firewall sa karagdagang address. Iyon mismong pahayag ang lugar kung saan nagkakamali ang mga disenyong ito, dahil mukhang makatwiran ito sa bawat platform at sa pangkalahatan ay hindi totoo sa alinman. Ang talaang apat na linya ang nagpapasya niyon para sa iyong platform sa loob ng sampung minuto.