VPN ning ajratilgan manziliga aslida kim javob beradi?

Tashkilot taqsimotida ishlatilmay yotgan manzil tinglovchi emas va uni xavfsizlik devoriga qo'shish bittasini ham yaratmaydi. O'sha manzilda IKE ni nimadir tugatishi kerak va mexanizm manzilni shlyuz egallashiga yoki yuqori qurilma uni tarjima qilishiga qarab farq qiladi. Ikkalasini paket yo'li ajratadi va birov o'zgartirish so'rovini ochishidan oldin qaysi platforma xususiyati kerakligini ham shu yo'l belgilaydi. Avval yo'lni modellashtiring, keyin tanlang.

Manzil orqasidagi paket yo'li

Hamkor o'ziga berilgan manzilga IKE yuboradi, UDP 500 da yoki NAT o'tishi ishtirok etganda UDP 4500 da. Yo'lda o'sha manzilni ushlab turgan qaysi qurilma bo'lsa ham, u datagrammani mahalliy qabul qilib javob beradi yoki uni boshqa joyga uzatadi. Bular faqat ikkita imkoniyat va bu maqoladagi qolgan hamma narsa qaysi biri to'g'ri ekanidan kelib chiqadi.

Mahalliy qabul qilish o'sha qurilmada o'sha manzilga bog'langan soket borligini bildiradi. Uzatish datagramma qayta yozilib, boshqa oxirgi nuqtaga yuborilishini bildiradi, soket o'shanda o'sha yerda bo'ladi. UDP 500 ga ruxsat beruvchi xavfsizlik devori qoidasi ikkisidan qaysi biri sodir bo'layotganini sizga aytmaydi.

Biror narsaga tegishdan oldin yozuvni yozing: hamkorlar bog'lanadigan manzil, yuqori tarmoq uni qanday yetkazadi, uni qabul qiladigan mahalliy interfeys yoki mantiqiy oxirgi nuqta va IKE ga javob beradigan jarayon. To'rt qator va har birini tekshirish mumkin. Ulardan biri noma'lum bo'lsa, o'sha noma'lumlik dizayn ishi, keyin hal qilinadigan joriy etish tafsiloti emas. Ularni o'zgartirish so'rovi tasdiqlangandan keyin to'ldirish — tarjima qoidasining noto'g'ri qurilmaga qo'shilish yo'li.

Model A: manzilni shlyuz egallaydi

Birinchi modelda manzilni shlyuzning o'zi ushlab turadi, mavjud interfeysdagi ikkilamchi manzil sifatida, maxsus interfeysdagi manzil sifatida yoki platforma tunnelning oxirgi nuqtasi sifatida qo'llab-quvvatlaydigan loopback sifatida. Bular uch xil konfiguratsiya yo'liga ega uch xil xususiyat va bittasini qo'llab-quvvatlaydigan platforma qolganlarini qo'llab-quvvatlamasligi mumkin.

Uning atrofida dizayn qilishdan oldin platforma va versiya aynan shu joylashuvni qo'llab-quvvatlashini tasdiqlang. Marshrutlangan blok, interfeysdagi qo'shimcha manzil va loopback oxirgi nuqtasi o'zaro almashtirilmaydi va bitta versiyaning hujjatlari keyingisi xuddi shunday tutishini va'da qilmaydi.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Tinglayotgan soket — dalil. Manzilga hech narsa bog'lanmagan bo'lsa, marshrutlash jadvali nima desa ham shlyuz tugatuvchi emas va paket ushlash datagrammalar kelayotganini, ammo ularga javob beradigan hech kim yo'qligini ko'rsatadi.

Topologiyaning boshqa joyida allaqachon mavjud quyi tarmoqqa ikkinchi interfeys qo'ymang va platforma buni hal qiladi deb o'ylamang. Ustma-ust tushadigan interfeys quyi tarmoqlari manba tanlovini noaniq qiladi va ko'p platformalarda sozlashdan butunlay bosh tortadi.

Model B: uni yuqori qurilma tarjima qiladi

Ikkinchi modelda yuqoridagi xavfsizlik devori ajratilgan manzilni ushlab turadi va trafikni boshqa VPN shlyuziga uzatadi. Bu qaytish yo'liga ega manzil tarjimasi va shunday hujjatlashtirilgan ekan, mutlaqo to'g'ri dizayn.

Bu esa yuqori qurilma mahalliy VPN soketini olganiga dalil emas. Tarjima paketlarni uzatadi; u yuqori qutini IKE javob beruvchisiga aylantirmaydi. Yuqori qoida olib tashlansa yoki uning qaytish yo'li uzilsa, shlyuz sog'lom va o'z tinglovchilari butun bo'lsa ham VPN to'xtaydi.

Ikkala manzilni yozib qo'ying: hamkorlar bog'lanadiganini va shlyuz haqiqatda ko'radiganini. So'ng transport va qaytish yo'lini yozing, chunki UDP 500 uchun ishlaydigan, ammo kapsulalangan ESP uchun ishlamaydigan tarjima ulanadi va keyin trafikni tashiy olmaydi, bu esa keyinchalik tuzatish uchun chalkash nosozlik.

Identifikatsiya tashqi manzil emas

IPsec tunnel oxirgi nuqtasini u himoya qiladigan trafikdan ajratadi va arxitektura bu qarorlarni turli joylarda saqlaydi. Hamkorlar bog'lanadigan manzilni o'zgartirish qaysi ichki prefikslarga ruxsat berilganini, qaysi marshrutlar o'rnatilishini yoki sessiya qaysi resurslarga yetib borishini avtomatik o'zgartirmaydi.

Autentifikatsiya qilingan identifikatsiya yana alohida. IKEv2 tashqi paket manziliga mos kelishi shart bo'lmagan identifikatsiya yuki va autentifikatsiya almashinuvini olib yuradi, shuning uchun tarjima qilingan dizayn ham hanuz to'g'ri autentifikatsiya qila oladi.

Bu mustaqillik foydali va ayni paytda tuzoq. Bitta oddiy tinglovchiga hal bo'ladigan ikkita DNS nomi turli VPN backendlarini tanlamaydi va bitta identifikatsiyani nomlaydigan sertifikat boshqasini kutayotgan hamkorni qanoatlantirmaydi. Faqat manzil buni hal qiladi deb o'ylashdan oldin hamkor nimani tekshirishini tasdiqlang.

Dizaynni bitta ulanishni kuzatib qabul qiling

Yangi ruxsat etilgan ulanish aslida qayerga yetkazilishini, qaysi identifikatsiya javob berishini va keyin qaysi xususiy oqimga ruxsat berilishini tekshiring. Uch kuzatuv, uch xil qatlam va manzilning muvaffaqiyatli ochiq qidiruvi ularning birortasini ham sinamaydi.

Salbiy holatni ham saqlang: qabul qilinmasligi kerak bo'lgan hamkor yoki yetib bo'lmaydigan ichki prefiks, o'zgarishdan keyin tekshirilgan. Boshida yozilgan yozuv dizaynni xotiradan qayta qurmasdan o'sha sinovni amalga oshiradi.

Bularning barchasidan maqsad — tarmoq egasiga har bir xavfsizlik devori qo'shimcha manzil bilan nima qila olishi haqidagi umumiy da'voga tayanish o'rniga qo'llab-quvvatlanadigan taqsimot usulini tanlash imkonini berish. Aynan o'sha da'vo bu dizaynlar xato qiladigan joy, chunki u har bir platformada ishonarli eshitiladi va umuman hech birida to'g'ri emas. To'rt qatorli yozuv buni sizning platformangiz uchun o'n daqiqada hal qiladi.