Ikki WAN li VPN siyosati qaysi paketga mos kelishi kerak?

VPN ni ikkinchi uplink orqali yo'naltirish haqidagi so'rovlar kamida ikki xil ishni tasvirlaydi va birini tuzatadigan siyosat ikkinchisiga tegmaydi. Birinchi ishda ikki uch orasidagi shifrlangan transport boshqa WAN manziliga o'tadi. Ikkinchisida ulangan foydalanuvchining shifri ochilgan ilova oqimi boshqa keyingi qadamga chiqadi. Ikkalasi ham qonuniy, ikkalasi ham marshrutlashdan foydalanadi va har biri qaror qabul qilinadigan nuqtada mavjud paketga moslikni talab qiladi. Quyidagi tekshiruvlarni tartib bilan bajaring, chunki birinchisi keyingi qoidalar qaysi paketni nomlashi kerakligini belgilaydi.

Ikki suhbatni nomlang

Ofis shlyuziga ulangan masofaviy xodim ichki ilova serveriga HTTPS ochayotganini tasavvur qiling. Simda ikki mustaqil suhbat bor va ularning har bir uchida manzillari boshqacha. Tashqi suhbat ikki VPN uchi orasida boradi: shlyuz manzilidan hamkor manziligacha, joylashtirish kelishgan protokol va portda. Ichki suhbat mijozga berilgan manzildan 443 portdagi ilova serveri manziligacha boradi.

Ilovaning manzil porti VPN ning transport porti emas va TCP 443 dagi qancha siyosat bo'lmasin tunnelni qimirlatmaydi. Xuddi shunday, hamkorning transport manzilini qayta yo'naltiruvchi qoida o'sha foydalanuvchining HTTP so'rovi shifr ochilgandan keyin qayerga ketishini aytmaydi. Qoidaga tegishdan oldin ikki suhbatni haqiqiy manzillari bilan yozib qo'ying, chunki bu sohada chalkashlikning ko'p qismi birini nomlab ikkinchisini sozlashdan kelib chiqadi.

Siyosatingiz paketni haqiqatan qayerda ko'ra olishini toping

Moslik paket hali siz tasvirlagan shaklda bo'lgan zanjir va nom maydonida baholanishi kerak. LAN kirishiga bog'langan qoida ichki paketni shifrlanmagan holda, tunnelga yo'naltirilishidan oldin ko'radi. Mahalliy hosil bo'lgan trafikka qo'llanilgan qoida shlyuzning o'zi yaratadigan paketlarni ko'radi va shlyuz faqat uzatadigan trafikni avtomatik qamrab olmaydi. Inkapsulyatsiya qilingan chiqish yana uchinchi holat bo'lib, odatda LAN tomonida emas, tunnelni olib yuradigan interfeysda boshqariladi.

Shuning uchun bir xil konfiguratsiya bo'lagi ikki platformada boshqacha tutadi: bog'lanish nuqtalari har xil va sotuvchining siyosat ilgagi shifrlash qadamidan oldin yoki keyin bo'lishi mumkin. Boshqa sotuvchi diagrammasidan tartibni taxmin qilish o'rniga aniq mahsulot uchun paket yo'lini o'qing.

Kelishgan transportni tasdiqlang

UDP ga inkapsulyatsiya qilingan IPsec uchun, RFC 3948 ESP ni UDP ichiga joylashtiradi va umumiy portda IKE ajralib turishi uchun ESP bo'lmagan belgidan foydalanadi. Oddiy ESP IP protokoli, TCP yoki UDP port emas, shuning uchun port raqamiga yozilgan xavfsizlik devori qoidasi unga umuman mos kelmaydi. Bu farq WAN siyosatingizga UDP qoidasi, protokol qoidasi yoki ikkalasi kerakligini hal qiladi.

Kelishgan qiymatlar eslab qolinganlardan ustun. Qurilmadan assotsiatsiyaning joriy portlari va manzillarini o'qing, har ehtimolga qarshi TCP 4500 yoki eski sotuvchi portini qo'shish o'rniga, bu aloqasiz trafikni ushlaydi va haqiqiy tasniflash muammosini yashiradi.

Majburiyat olishdan oldin qaytish yo'lini tekshiring

Chiqish yo'nalishidagi muvaffaqiyat loyihaning yarmini isbotlaydi. Masofaviy mijozlar hovuziga qaytayotgan paket inkapsulyatsiya uning o'rnini egallagach mijoz manzili ostida ko'rinmaydi: tashqi manzil hamkorning transport manzili. Agar ikkinchi uplink o'sha hamkorga boshqa operator orqali yetsa, uning tarjimasi va filtrlashi birinchisiga to'g'ri kelmasligi mumkin va assotsiatsiyani ko'chirish emas, qayta qurish talab qilinishi mumkin.

Tarmoq manzillari tarjimasi holati WAN o'zgarishining odatiy qurboni. Tanlangan uplink, kutilayotgan tashqi manba manzili, ishlatilayotgan tarjima va hamkorning u yerga qayta yetib borishini yozib qo'ying, so'ng transportni o'zi olib yurgan tunnelga yubormasdan yetib boradigan holatda saqlang.

Ikki ushlash bilan ikki qatlamni tekshiring

WAN interfeysida bir ushlash va tunnel ichida bir ushlash savolni har qanday konfiguratsiya taqqoslashidan tezroq hal qiladi. Ruxsat etilgan mijoz bitta so'rov qilayotganda ularni shlyuzdan ishga tushiring va ikkala faylni saqlang.

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

Birinchi ushlash tashqi suhbatni siz nazarda tutgan interfeysdan kutilgan manba manzili bilan chiqayotganini ko'rsatishi kerak. Ikkinchisi ichki suhbatni bir marta, takrorlanmasdan, mijoz manzili manba va ilova serveri manzil sifatida ko'rsatishi kerak. Marshrut qidiruvi marshrutizator o'sha manba va manzil jufti uchun qaysi jadvalni ishlatishini tasdiqlaydi va siyosat xatosi odatda aynan o'sha yerda ko'rinadi. Agar ushlashlardan biri ko'rinmasa, qaror nuqtasi qoida bog'langan joyda emas, boshqa joyda va tuzatish kengroq moslikka emas, o'sha yerga tegishli.