VPN'in özel adresine gerçekte kim yanıt veriyor?

Kuruluşun tahsisinde kullanılmadan duran bir adres dinleyici değildir ve onu bir güvenlik duvarına eklemek bir tane oluşturmaz. O adreste IKE'yi bir şeyin sonlandırması gerekir ve mekanizma, adresi ağ geçidinin mi sahiplendiğine yoksa üst akıştaki bir aygıtın mı çevirdiğine göre değişir. İkisini ayıran şey paket yoludur ve herhangi biri bir değişiklik talebi açmadan önce hangi platform özelliğine ihtiyacınız olduğunu da bu yol belirler. Önce yolu modelleyin, sonra seçin.

Adresin arkasındaki paket yolu

Bir eş, kendisine verilen adrese IKE gönderir; UDP 500 üzerinden veya NAT geçişi söz konusu olduğunda UDP 4500 üzerinden. Yolda o adresi elinde tutan hangi aygıt varsa, datagramı ya yerel olarak alıp yanıtlar ya da başka bir yere iletir. Bunlar tek iki olasılıktır ve bu yazıdaki diğer her şey hangisinin doğru olduğundan çıkar.

Yerel olarak almak, o aygıtta o adrese bağlı bir soket bulunduğu anlamına gelir. İletmek, datagramın yeniden yazılıp başka bir uç noktaya gönderildiği ve soketin artık orada olduğu anlamına gelir. UDP 500'e izin veren bir güvenlik duvarı kuralı, ikisinden hangisinin gerçekleştiği konusunda size hiçbir şey söylemez.

Bir şeye dokunmadan önce kaydı yazın: eşlerin iletişim kurduğu adres, üst akış ağının onu nasıl teslim ettiği, onu alan yerel arayüz veya mantıksal uç nokta ve IKE'yi yanıtlayan süreç. Dört satır ve her biri denetlenebilir. Bunlardan biri bilinmiyorsa, o bilinmeyen tasarım işidir, sonra karara bağlanacak bir uygulama ayrıntısı değildir. Onları değişiklik talebi onaylandıktan sonra doldurmak, bir çeviri kuralının yanlış aygıta eklenmesinin yoludur.

Model A: adresi ağ geçidi sahiplenir

İlk modelde adresi ağ geçidinin kendisi tutar; mevcut bir arayüzde ikincil adres olarak, özel bir arayüzde adres olarak ya da platformun tünel uç noktası olarak desteklediği bir loopback olarak. Bunlar üç farklı yapılandırma yolu olan üç ayrı özelliktir ve birini destekleyen platform diğerlerini desteklemeyebilir.

Çevresinde tasarım yapmadan önce platformun ve sürümün tam olarak bu düzeni desteklediğini doğrulayın. Yönlendirilmiş blok, arayüzde ek adres ve loopback uç noktası birbirinin yerine geçmez ve bir sürümün belgeleri sonrakinin aynı davranacağını vaat etmez.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Dinleyen soket kanıttır. Adrese hiçbir şey bağlı değilse, yönlendirme tablosu ne derse desin ağ geçidi sonlandırıcı değildir ve paket yakalama, datagramların geldiğini ama onlara yanıt veren bir şey olmadığını gösterir.

Topolojide başka bir yerde zaten var olan bir alt ağa ikinci bir arayüz koymayın ve platformun bunu halledeceğini varsaymayın. Çakışan arayüz alt ağları belirsiz kaynak seçimi ve birçok platformda yapılandırmayı tümüyle reddetme üretir.

Model B: onu üst akıştaki bir aygıt çevirir

İkinci modelde üst akıştaki bir güvenlik duvarı özel adresi tutar ve trafiği başka bir VPN ağ geçidine iletir. Bu, geri dönüş yolu olan bir hedef çevirisidir ve böyle belgelendiği sürece tamamen geçerli bir tasarımdır.

Olmadığı şey ise şudur: üst akıştaki aygıtın yerel bir VPN soketi edindiğine dair kanıt değildir. Çeviri paketleri iletir; üstteki kutuyu bir IKE yanıtlayıcısı yapmaz. Üst akıştaki kural kaldırılırsa veya geri dönüş yolu koparsa, ağ geçidi sağlıklı ve kendi dinleyicileri sağlam olsa da VPN durur.

Her iki adresi de kaydedin: eşlerin iletişim kurduğu adresi ve ağ geçidinin gerçekte gördüğü adresi. Sonra taşımayı ve geri dönüş yolunu kaydedin, çünkü UDP 500 için çalışıp kapsüllenmiş ESP için çalışmayan bir çeviri bağlanır ve ardından trafiği taşıyamaz; bu da sonradan ayıklanması kafa karıştırıcı bir arızadır.

Kimlik dış adres değildir

IPsec, tünel uç noktasını koruduğu trafikten ayırır ve mimari bu kararları farklı yerlerde tutar. Eşlerin iletişim kurduğu adresi değiştirmek, hangi iç öneklerin izinli olduğunu, hangi yolların kurulduğunu veya oturumun hangi kaynaklara erişebileceğini otomatik olarak değiştirmez.

Doğrulanmış kimlik yine ayrıdır. IKEv2, dış paket adresiyle eşleşmesi gerekmeyen bir kimlik yükü ve kimlik doğrulama alışverişi taşır ve tam da bu nedenle çevrilmiş bir tasarım hâlâ doğru şekilde kimlik doğrulayabilir.

Bu bağımsızlık yararlı ve aynı zamanda bir tuzaktır. Tek bir sıradan dinleyiciye çözülen iki DNS adı farklı VPN arka uçları seçmez ve bir kimliği adlandıran sertifika, başkasını bekleyen bir eşi tatmin etmez. Adresin tek başına bunu belirlediğini varsaymadan önce eşin neyi doğruladığını teyit edin.

Tasarımı tek bir bağlantıyı izleyerek kabul edin

Yeni yetkilendirilmiş bir bağlantının gerçekte nereye teslim edildiğini, hangi kimliğin yanıt verdiğini ve ardından hangi özel akışın izinli olduğunu inceleyin. Üç gözlem, üç farklı katman ve adresin başarılı bir genel sorgusu bunların hiçbirini test etmez.

Olumsuz durumu da koruyun: kabul edilmemesi gereken bir eş veya erişilebilir olmaması gereken bir iç önek, değişiklikten sonra doğrulanmış olsun. Başta yazdığınız kayıt, tasarımı bellekten yeniden kurmadan o testi mümkün kılan şeydir.

Bütün bunların amacı, ağ sahibinin her güvenlik duvarının ek bir adresle neler yapabileceğine dair genel bir iddiaya güvenmek yerine desteklenen bir tahsis yöntemi seçebilmesini sağlamaktır. Bu iddia tam olarak bu tasarımların tökezlediği yerdir, çünkü her platformda akla yatkın görünür ve genelde hiçbirinde doğru değildir. Dört satırlık kayıt bunu platformunuz için on dakikada çözer.