İki WAN'lı bir VPN ilkesi hangi paketle eşleşmeli?

VPN'i ikinci üst bağlantı üzerinden yönlendirme talepleri en az iki farklı işi tanımlar ve birini düzelten ilke diğerine dokunmaz. İlk işte iki uç arasındaki şifreli taşıma başka bir WAN adresine geçer. İkincisinde bağlı bir kullanıcının şifresi çözülmüş uygulama akışı başka bir sonraki atlama noktasına çıkar. İkisi de meşrudur, ikisi de yönlendirme kullanır ve her biri kararın verildiği noktada var olan bir paket üzerinde eşleşme gerektirir. Aşağıdaki denetimleri sırayla yapın, çünkü ilki sonraki kuralların hangi paketi adlandırması gerektiğini belirler.

İki konuşmayı adlandırın

Bir ofis ağ geçidine bağlanan uzak çalışanın dahili bir uygulama sunucusuna HTTPS açtığını düşünün. Hatta iki bağımsız konuşma vardır ve her iki uçta farklı adresleri vardır. Dış konuşma iki VPN ucu arasında akar: ağ geçidi adresinden eş adresine, kurulumun anlaştığı protokol ve bağlantı noktasıyla. İç konuşma istemciye atanan adresten uygulama sunucusunun 443 numaralı bağlantı noktasındaki adresine akar.

Uygulamanın hedef bağlantı noktası VPN'in taşıma bağlantı noktası değildir ve TCP 443 üzerindeki hiçbir ilke tüneli hareket ettirmez. Aynı şekilde, eşin taşıma adresini yeniden yönlendiren bir kural, o kullanıcının HTTP isteğinin şifre çözüldükten sonra nereye gittiği hakkında hiçbir şey söylemez. Bir kurala dokunmadan önce iki konuşmayı gerçek adresleriyle yazın, çünkü bu alandaki karışıklığın çoğu birini adlandırıp diğerini yapılandırmaktan kaynaklanır.

İlkenizin paketi gerçekten nerede görebildiğini bulun

Eşleşme, paketin hâlâ tanımladığınız biçimde olduğu zincirde ve ad alanında değerlendirilmelidir. LAN girişine bağlanan kural, iç paketi şifrelenmemiş halde, tünele yönlendirilmeden önce görür. Yerelde üretilen trafiğe uygulanan kural, ağ geçidinin kendisinin ürettiği paketleri görür ve ağ geçidinin yalnızca ilettiği trafiği otomatik olarak kapsamaz. Kapsüllenmiş çıktı yine üçüncü durumdur, genellikle LAN tarafında değil tüneli taşıyan arayüzde ele alınır.

Bu yüzden aynı yapılandırma parçası iki platformda farklı davranır: bağlanma noktaları farklıdır ve bir satıcının ilke kancası şifreleme adımından önce veya sonra yer alabilir. Sırayı başka bir satıcının şemasından varsaymak yerine ilgili ürün için paket yolunu okuyun.

Anlaştığınız taşımayı doğrulayın

UDP içinde kapsüllenmiş IPsec için, RFC 3948 ESP'yi UDP'nin içine koyar ve paylaşılan bağlantı noktasında IKE'nin ayırt edilebilir kalması için ESP olmayan bir işaret kullanır. Sade ESP bir IP protokolüdür, TCP veya UDP bağlantı noktası değildir, bu yüzden bağlantı noktası numarasına göre yazılmış bir güvenlik duvarı kuralı onunla hiç eşleşmez. Bu ayrım, WAN ilkenizin UDP kuralı, protokol kuralı veya ikisine de ihtiyaç duyup duymadığını belirler.

Anlaşılan değerler hatırlananları yener. Cihazdan ilişkilendirmenin güncel bağlantı noktalarını ve adreslerini okuyun, her ihtimale karşı TCP 4500 veya eski bir satıcı bağlantı noktası eklemek yerine, bu ilgisiz trafiği yakalar ve gerçek sınıflandırma sorununu gizler.

Taahhüt vermeden önce dönüş yolunu denetleyin

Giden yöndeki başarı bir tasarımın yarısını kanıtlar. Uzak istemci havuzuna dönen paket, kapsülleme onun yerini aldığında artık istemcinin adresi altında görünmez: dış hedef eşin taşıma adresidir. İkinci üst bağlantı o eşe farklı bir operatör üzerinden ulaşıyorsa, çevirisi ve filtrelemesi birinkiyle uyuşmayabilir ve ilişkilendirmenin taşınması değil yeniden kurulması gerekebilir.

Ağ adresi çevirisi durumu WAN değişikliğinin olağan kurbanıdır. Seçilen üst bağlantıyı, beklenen dış kaynak adresini, kullanılan çeviriyi ve eşin oraya geri ulaşılabilirliğini kaydedin, sonra taşımayı taşıdığı tünele göndermeden erişilebilir tutun.

İki katmanı iki yakalamayla doğrulayın

WAN arayüzünde bir yakalama ve tünelin içinde bir yakalama, soruyu herhangi bir yapılandırma karşılaştırmasından daha hızlı çözer. Onaylı bir istemci tek bir istek yaparken bunları ağ geçidinden çalıştırın ve iki dosyayı da saklayın.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

İlk yakalama dış konuşmanın amaçladığınız arayüzden beklenen kaynak adresle çıktığını göstermelidir. İkincisi iç konuşmayı bir kez, yinelenmeden, istemci adresi kaynak ve uygulama sunucusu hedef olarak göstermelidir. Yol araması, yönlendiricinin o kaynak-hedef çifti için hangi tabloyu kullanacağını doğrular ve ilke hatası genellikle tam orada ortaya çıkar. Yakalamalardan biri görünmezse, karar noktası kuralın bağlandığı yer değil başka bir yerdir ve düzeltme daha geniş bir eşleşmeye değil oraya aittir.