Bitta NIC mi yoki ikkita? VPN serverining interfeys tartibini aniqlash

Ko'pgina VPN serverlar uchun bitta jismoniy adapter yetarli, va bu ham universal yechim emas. Shifrlangan ulanish shu adapterga keladi, VPN jarayoni uni shifrdan chiqaradi, so'ngra ichki trafik virtual interfeys orqali chiqadi, mahalliy xizmat yoki marshrutlangan LANga yetib borishdan oldin. Bu ishlashi uchta shartga bog'liq: manzil qayerda joylashgani, LANning mijozlar hovuziga qaytish yo'li bor-yo'qligi va bitta umumiy jismoniy link siz da'vo qilayotgan izolyatsiyani beradimi. Shu uchtasiga javob bering, adapterlar soni o'zi kelib chiqadi.

Buni hal qiladigan uchta shart

Birinchi shart — manzil. VPN xostining o'zidagi xizmatga faqat tunnel interfeysi orqali yetib boriladi, LANdagi xost esa yo'naltirish va qaytish yo'lini talab qiladi. Ikkinchi shart — o'sha qaytish yo'li, chunki LAN qurilmasi mijozlar hovuziga qanday yetib borishni bilishi kerak, yo marshrut bilan, yo serverdagi tarjima bilan.

Uchinchi shart — ajratish. Bitta adapter har bir paket, shifrlangan yoki emas, bitta linkni va odatda bitta siyosat zanjirini bo'lishishini bildiradi, shuning uchun alohida apparatga tayangan izolyatsiya da'vosi bitta interfeys bilan qoplanmaydi. Bu yo'l haqidagi fakt, operatsion tizim qanday sozlanganligi haqida emas. Tunnel trafigini hali ham filtrlashingiz mumkin, lekin sizda yo'q chegarani da'vo qila olmaysiz.

Ularning hech biri korpusdagi portlar soni haqida emas. Ular marshrutlash, manzillar egaligi va loyiha jismoniy ajratishga qanchalik bog'liqligi haqida.

Jismoniy zonalar, alohida uplinklar, o'tkazuvchanlik yoki banddan tashqari tiklash yo'li buni oqlasa, ikkita adapter qonuniy tanlov bo'lib qoladi. Bu aniq talablar va kimdir apparat buyurtma qilishidan oldin ularni yozib qo'yishga arziydi.

Xizmat VPN xostida ishlaganda

Eng oddiy holat yo'naltirishni umuman talab qilmaydi. Daemon tunnel interfeysida mijoz paketlarini qabul qiladi va ularni mahalliy soketga topshiradi, javob esa o'sha interfeys orqali qaytadi. Xost uchun mijozlar hovuzining manzili haqiqiy mahalliy manzil.

Shunga qaramay ikkita narsa to'g'ri bo'lishi kerak: xizmat tunnel yetib boradigan manzilda tinglashi kerak, xostning xavfsizlik devori esa tunnel interfeysiga keladigan trafikni qabul qilishi kerak. Ikkisi ham quyidagi buyruqlarda ko'rinadi.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Xizmatni faqat ommaviy manzilga bog'lash yoki tunnel interfeysini xato bilan filtrlash xostga yetib borib, keyin o'ladigan ulanish tug'diradi. Bu VPN nosozligidek ko'rinadi va odatda soket yoki xavfsizlik devori qarori.

Manzil LANda bo'lganda

Aynan shu yerda bitta adapterli loyiha noqulay degan nom oladi. Server mijoz paketlarini LAN tomon yo'naltirishi kerak, LAN qurilmasi esa javoblarni mijozlar hovuziga qaytarishi kerak. Yoki o'sha hovuzni LANda marshrut sifatida olib yurasiz, yoki serverda manba manzilini tarjima qilib, javoblar serverning o'ziga qaytadi.

Ikkala javob ham qonuniy va ular turlicha ishdan chiqadi. Qaytish marshruti asl mijoz manzilini manzil uchun ko'rinadigan qilib qoldiradi, bu jurnallar uchun yaxshi, LAN manzillarini taxmin qiladigan xavfsizlik devori qoidalari uchun yomon. Tarjima LANni sodda saqlaydi va mijozning shaxsini manzildan yashiradi.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Asimmetrik yo'l klassik alomat: mijoz so'rovi keladi, javob boshqa marshrutizator orqali chiqadi va ulanish ikki chetda ham xatosiz vaqt tugab to'xtaydi. Tunnel haqida biror xulosa chiqarishdan oldin ikki tomondan ham yozib oling.

Nega alias ikkinchi zona yaratmaydi

O'sha adapterga ikkinchi manzil qo'shish yoki ikkinchi portni taqlid qiluvchi dummy interfeys yaratish juda oz narsani o'zgartiradi. Paketlar hali ham o'sha jismoniy link, o'sha kommutator porti va odatda o'sha xavfsizlik devori zanjiri orqali chiqadi, shuning uchun ular orasida yangi chegara paydo bo'lmaydi. Bu sozlash qulayligi, segmentatsiya emas. Uni zona chegarasi deb qarash — izolyatsiya da'vosining faqat qog'ozda qolish usuli.

Alohida zona yo'lda haqiqiy ajratishni talab qiladi va bu talabni ikkinchi adapter qondiradi. Agar qoida VPN tomonga trafik LAN tomonga trafik bilan hech qachon eshittirish domenini bo'lishmasligiga bog'liq bo'lsa, xost qanday manzillanganidan qat'i nazar bitta kabel bu xususiyatni bera olmaydi.

Mahsulot ma'lum bir rejim uchun ko'p interfeysli topologiyani hujjatlashtirsa, aylanma yo'l o'ylab topish o'rniga o'sha mahsulot hujjatlariga amal qiling. Ishlab chiqaruvchilar chiqimlar orasida qo'llab-quvvatlanadigan topologiyalarni ham o'zgartiradi, bu esa eski ustoz ekran surati o'rniga joriy qo'llanmani o'qishning yana bir sababi.

Tartibni ruxsat bergan trafigingiz bilan solishtirib tekshiring

Server olib yurishi kerak bo'lgan trafik sinflarini sanang: mijozdan xostga, mijozdan LANga, xostdan LANga va shifrlangan tashqi ulanish. Har bir sinfning manbasi, manzili va interfeysi bor, tartib esa to'rttasini bir vaqtda qondirishi kerak. Ulardan uchtasini boshqaradigan loyiha odatda chipta tug'diradigan loyiha.

So'ngra dizayn hujjatidagi diagramma emas, haqiqiy interfeyslar va haqiqiy yozib olishni tasdiqlang. Quyidagi buyruqlar ikkala ko'rinishni ham chiqaradi.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Agar tashqi yozib olish shifrlangan trafikni, ichki yozib olish esa tunnel interfeysida shifrdan chiqarilgan trafikni ko'rsatsa, jismoniy adapter ikkisini ham olib yursa, bitta NIC ishni bajaryapti. Agar ichki yozib olish bo'sh bo'lsa, muammo tunnelda yoki yo'naltirish qoidalarida, adapterlar sonida emas. Topologiyani o'sha ikki yozib olish va marshrutlash jadvalidan hal qiling, keyingi o'zgarishning solishtiradigan narsasi bo'ladi.