Fikun subnet keji si VPN laarin awon aaye: ona meji
Awon tunnel ti o da lori eto imulo nilo awon oluyan ti o baamu ni egbe mejeeji; awon ti o da lori ona nilo ona kan. Yan ona to pe ki o si tun ona ipadabo se akoko.
Fikun subnet keji si tunnel ti n sise laarin awon aaye gba iseju marun ninu apẹrẹ kan ati fere gbogbo osan ninu ekeji. Nigbati tunnel ba fi awon ona sori awon prefix ti o daruko, o fikun ona kan ati pe irin-ajo tẹle e. Nigbati o ba n ba awon oluyan meji ti o duro lori ibaraẹnisọrọ, prefix tuntun yoo wa laini aabo titi egbe mejeeji yoo fi gba lori bata ti o baamu. Ohun mẹta lo pinnu: ohun ti eto kọọkan fi han ni otitọ, boya irin-ajo ti a sọ yoo dinku si bata ti o kere ti o baamu, ati tani o ni ona ipadabo fun agbegbe tuntun.
Ka kernel, ki o ma ka ami ipo
Tunnel ti o sọ pe o ti sopọ ti fi o kere ju idapọ ọmọ kan sori ẹrọ, ṣugbọn kii ṣe eyi ti o ro nigbagbogbo. Ninu Linux kernel fi han ohun ti a lo: ip xfrm policy ṣe akojọ awọn bata oluyan ati swanctl --list-sas (tabi ipsec statusall atijọ) fi ohun ti awọn egbe gba han, pẹlu awọn oluyan irin-ajo ni ọna kọọkan. Ti prefix tuntun ko ba si ninu awọn mejeeji, ko ni aabo, ohunkohun ti faili eto ba sọ.
Fi eyi we tabili ona. Ninu eto ti o da lori ona, ẹrọ tunnel ni igbesẹ ti o tẹle fun awọn prefix ti o ni aabo. Eto ti o da lori eto imulo nigbagbogbo ko ni ona pato fun subnet jijin, ona aiyipada nikan ni o wa, nitori eto imulo ni o yan irin-ajo kii ṣe tabili.
Ti o da lori eto imulo: egbe mejeeji gbodo ṣe akojọ prefix tuntun
Ninu awọn oro strongSwan oluyan wa ninu local_ts ati remote_ts labẹ eto ọmọ, awọn arọpo leftsubnet ati rightsubnet. Prefix tuntun gbodo farahan ni egbe mejeeji bi digi: ohun ti aaye A pe ni ti agbegbe ni aaye B pe ni ti jijin. Aiyẹtọ kii ṣe nigbagbogbo fun aṣiṣe ti o mọ. Awọn egbe dinku si ipade, prefix atijọ n tẹsiwaju sise ati eyi tuntun nikan ni o kuna ni idakẹjẹ.
swanctl --load-conns
swanctl --initiate --child <child-name>
swanctl --list-sas
ip xfrm policyLori pfSense tabi OPNsense eyi tumọ si titẹsi Phase 2 keji ti o so subnet agbegbe tuntun pọ mọ ti jijin tuntun, lẹhinna fifi wọle. Pa titẹsi atijọ mọ; rirọpo rẹ yoo gbe subnet atilẹba dipo fifi kun. Ti Phase 2 ti o wa tẹlẹ ba bo supernet bi 0.0.0.0/0 tabi agbegbe ti a ṣoki, ma fi titẹsi tọka kun ẹgbẹ rẹ: awọn oluyan ti o papọ yoo fi awọn eto imulo idije sori ẹrọ ati ilana igbelewọn ni o pinnu olubori.
IKEv1 sọ bata subnet kọọkan di Phase 2 tirẹ, egbe ti o gba bata kan fun paṣipaarọ yoo ju iyokù silẹ. IKEv2 le gbe awọn bata oluyan pupọ ninu ọmọ kan, ṣugbọn ti awọn imuse mejeeji ba gba wọn. Akojọ lati swanctl --list-sas ni otitọ; ohun ti o tẹ jẹ ibeere.
Ti o da lori ona: ona ni eto imulo
Interface XFRM tabi ẹrọ VTI n gbe irin-ajo gẹgẹ bi tabili ona. O tọka prefix tuntun si ẹrọ naa ni awọn aaye mejeeji, ati ipo ti o so mọ iyipada interface yoo lo. Ko si bata oluyan lati mu ṣiṣẹ papọ, idi niyẹ ti apẹrẹ yii fi n dagba daradara bi awọn subnet ṣe n pọ si. Itọsọna gbigbe strongSwan ṣalaye ẹgbẹ kernel ni kikun.
ip route add 192.168.60.0/24 dev xfrm0
ip route get 192.168.60.10WireGuard lọ jinna sii. AllowedIPs jẹ akojọ igbanilaaye crypto ati, nipasẹ wg-quick, titẹsi tabili ona. Fi prefix kun ni ẹgbẹ kan nikan iwọ yoo gba ifọwọsowọpọ, awọn pakẹti ti o jade ati idakẹjẹ, nitori ẹgbẹ jijin n ju awọn pakẹti ti orisun wọn ko si lori akojọ rẹ silẹ. Fọọmu wg set rọpo gbogbo akojọ, nitorina sọ awọn prefix ti o ti sise tẹlẹ lẹẹkansi tabi iwọ yoo ge wọn:
wg set wg0 peer <PUBKEY> allowed-ips 192.168.10.0/24,192.168.60.0/24
ip route add 192.168.60.0/24 dev wg0Aṣẹ keji kii ṣe aṣayan nigbati o ba lo wg set dipo wg-quick. Kernel gba akojọ tuntun lẹsẹkẹsẹ, ṣugbọn ko si ohun ti o fi ona kun fun u, nitorina irin-ajo ti a ṣe ni agbegbe ṣi n jade nipasẹ ẹnu-ọna aiyipada. Eyi ni idi ti o wọpọ julọ ti subnet WireGuard tuntun fi n sise lati oluwa tunnel kii ṣe lati laptop.
Ona ipadabo kuna ju tunnel lọ
Awọn oluwa lori subnet jijin tuntun gbodo fi awọn idahun pada nipasẹ ẹnu-ọna VPN. Ti ẹnu-ọna yẹn ko ba jẹ olutọsọna aiyipada wọn idahun yoo lọ si olutọsọna LAN, eyi ti yoo ju silẹ tabi fi ranṣẹ si intanẹẹti pẹlu adirẹsi orisun aladani. Danwo lati oluwa ni ẹgbẹ jijin kii ṣe lati ẹnu-ọna: ip route get 10.30.20.15 lori Linux tabi Find-NetRoute -RemoteIPAddress 10.30.20.15 ninu PowerShell fi igbesẹ ti o tẹle ti oluwa yoo lo gan han. Ti idahun ko ba jẹ ipari tunnel, fi ona aiduro kun fun prefix tuntun nibẹ.
NAT orisun ni aaye ti ko ni ona ipadabo jẹ yiyan ti o tọ ati ọna ti ọpọlọpọ awọn imuṣiṣẹ hub-and-spoke fi yago fun fifi ọwọ kan gbogbo sẹ́fà. Lo o pẹlu lori prefix tuntun ni ẹnu-ọna ẹgbẹ opin:
iptables -t nat -A POSTROUTING -s 10.30.20.0/24 -d 192.168.60.0/24 -j MASQUERADEIye naa jẹ gidi. Awọn log jijin dẹkun fifi awọn adirẹsi orisun kọọkan han, ati awọn ofin firewall ti o da lori subnet atilẹba n ṣọkan di ofin kan fun ẹnu-ọna. Yan eyi pẹlu mimọ, kii ṣe nitori ona kan ṣe alaini.
Firewall ni idaji keji ti ona ipadabo. Awọn ẹrọ ti o da lori agbegbe ko gbooro agbegbe interface tunnel ti o wa si subnet tuntun laifọwọyi, ati ofin ti a kọ fun prefix atijọ kii yoo baamu. Fi subnet tuntun kun si agbegbe tabi si bata ofin ni awọn ọna mejeeji ki o to di IPsec lẹbi.
Pinnu pẹlu ibeere mẹta, lẹhinna ṣayẹwo pẹlu irin-ajo
Ọna kukuru: ṣe eto ẹgbẹ n daruko awọn prefix (ti o da lori eto imulo), tabi a n tọka irin-ajo sinu interface (ti o da lori ona)? Ṣe awọn opin mejeeji ṣe akojọ prefix tuntun? Ṣe ona pada wa lati subnet tuntun si agbegbe orisun atilẹba?
| Tunnel style | Where the prefix goes | What breaks if you skip it |
|---|---|---|
| Policy-based IPsec | Selector pair on both peers | Old subnets work, the new one fails with no clear error |
| Route-based XFRM or VTI | Route into the device on both sites | Packets routed but not transformed, or the state never matches |
| WireGuard | AllowedIPs on both peers plus a route | Handshake succeeds, replies are dropped |
| Overlapping supernet | Adjust the existing entry instead | A shadowed policy wins or loses by evaluation order |
Ṣiṣayẹwo ni ibi ti ọpọlọpọ awọn iyipada ti n pa ni kutukutu. Ping lati ẹnu-ọna ko fi pupọ han, nitori ẹnu-ọna n fi ranṣẹ lati ara rẹ ati nigbagbogbo baamu eto imulo ti o yatọ si ti oluwa. Ping lati oluwa lori subnet tuntun, lẹhinna ṣiṣẹ ohun elo ti o fa iyipada naa, ki o wo awọn kika kii ṣe aami ipo.
tcpdump -ni any host 192.168.60.10 and (esp or udp port 4500)
ip xfrm state
wg showNinu tunnel ti o da lori eto imulo awọn kika ip xfrm state gbodo ga soke ni awọn ọna mejeeji; awọn kika ti o papẹjẹ tumọ si pe a tọka pakẹti ṣugbọn a ko yan. Ninu WireGuard wg show n royin gbigbe fun ẹgbẹ kọọkan, ati ifọwọsowọpọ ti ko gba baiti kankan ntọka si akojọ ẹgbẹ jijin tabi ona ipadabo rẹ.
Pari nipa kikọ prefix, oluyan tabi ona ẹgbẹ, ipinnu ona ipadabo ati titẹsi firewall pẹlu iyokù akojọ tunnel. Lẹhinna tun ẹnu-ọna kan bẹrẹ ki o tun danwo: ona ti a fi ọwọ kun yoo parẹ, ati eniyan ti o tẹle ko gbodo tun ṣe awari rẹ lẹẹkansi.