L2TP, GRE tàbí IPsec: èwo ìpele ni ó yẹ kí ó gbé ìpàdé?

Àwọn ìbéèrè méjì ń dàpọ̀ nígbà gbogbo tí L2TP, GRE àti IPsec bá pàdé nínú àkọsílẹ̀ àpẹẹrẹ kan: èwo ìpàdé ni mò ń gbé, àti èwo ìpele ni ó ń dáàbò bò ó? Bí èkínní bá ṣe àṣìṣe, ohun gbogbo tí ó wà nísàlẹ̀ yóò dúró ní ìbámu nínú, ṣùgbọ́n yóò yanjú ìṣòro tí kò tọ́ — ìbòrí tí a tọ́nà tí a kọ́ ní ibi tí àwọn olùlò nílò láti pe wọlé, tàbí ilé-iṣẹ́ ìpè tí ó dúró dípò ẹnubodè ojú-ọ̀nà dé ojú-ọ̀nà. Ìwé iṣẹ́ tí ó wà nísàlẹ̀ fipá mú ìyàtọ̀ yẹn ṣáájú kí ẹnikẹ́ni tó wọ ẹ̀rọ kan. Kún ún ní ìtẹ̀léle, gbogbo ìlà yóò sì di ohun tí ìwọ fúnra rẹ lè dán wò.

Bẹ̀rẹ̀ pẹ̀lú ìpàdé, kì í ṣe àkójọ àwọn ìlànà

Olùlò tí ó jìnnà tí ó ní ìpàdé PPP àti ìbòrí tí a tọ́nà láàrín ẹnubodè méjì jẹ́ ìbáṣepọ̀ nẹ́tíwọ́kì méjì tí ó yàtọ̀, kódà nígbà tí àwọn méjèèjì bá parí ní wíwé mọ́ IPsec. Èkínní ń parí ìsopọ̀ fún olùlò kọ̀ọ̀kan ó sì nílò pípín àdírẹ́sì, ìjẹ́rìí ènìyàn tàbí ẹ̀rọ, àti ìlànà tí ó dárúkọ irú àwọn nẹ́tíwọ́kì inú tí olùlò yẹn lè dé. Èkejì ń rán àwọn pákẹ́tì jáde láàrín àwọn ibi tí ẹnikẹ́ni kò pe wọlé.

Kọ gbólóhùn kan tí ó dárúkọ èwo nínú àwọn méjì tí ìwọ ń kọ́, lẹ́yìn náà kà á padà bí ẹni pé ìwọ ni ènìyàn tí ó gbọdọ̀ máa ṣe é. Bí gbólóhùn bá nílò ọ̀rọ̀ «àti», ìwọ ń kọ́ àwọn méjèèjì, ìwé iṣẹ́ sì nílò ọ̀wọ̀n méjì dípò ọ̀wọ̀n àdéhùn kan tí ń sin ẹnìkọ̀ọ̀kan lórílẹ̀. Bí ó bá dárúkọ olùlò ṣùgbọ́n kò sí àkójọ àdírẹ́sì, tàbí ìpilẹ̀ ṣùgbọ́n kò sí ìlànà ìránṣẹ́, gbólóhùn kò tí ì pé. Ọ̀rọ̀ náà dàbí ti ilé-iṣẹ́, ṣùgbọ́n ibi tí ó kéré jùlọ láti mú àpẹẹrẹ tí yóò jẹ́ kí a rí i nípasẹ̀ tíkẹ́ẹ̀tì ìrànlọ́wọ́ ni ibí.

Fún ìpele kọ̀ọ̀kan ní iṣẹ́ kan gan-an

L2TPv2 ń gbé àwọn ìpàdé PPP láàrín àwọn ojú ìparí méjì rẹ̀. PPP ń darí ìjíròrò ìsopọ̀ àti, nígbà tí wọ́n bá gbà á, ìjẹ́rìí olùlò; L2TP kò fi ìkọ̀kọ̀ kankan kún un, nítorí náà L2TP daemon òfo kò ṣe apá kan nínú ìbáṣepọ̀ ààbò IPsec, ó sì wà nínú ìsopọ̀ tí ìwọ ti gbẹ́kẹ̀lé tẹ́lẹ̀ nìkan.

GRE jẹ́ ìwéwọ́ láàrín àdírẹ́sì méjì. Ó ń gbé àwọn pákẹ́tì ìpele nẹ́tíwọ́kì kọjá ìbòrí àròpọ̀ kan, ó sì fúnra rẹ̀ kò pèsè ìkọ̀kọ̀ tàbí ìdánimọ̀ alábàákẹ́gbẹ́ tí a jẹ́rìí. Ìyẹn kì í ṣe àìṣeédé, a ṣe orí-ọ̀rọ̀ ní rírọrùn kí ó lè wà ní ìtórọ ní ṣíṣe iṣẹ́ lórí ẹ̀rọ ìránṣẹ́. Àbájáde ni pé GRE ń dáhùn ìbéèrè bí a ṣe lè gbé pákẹ́tì yìí láàrín àdírẹ́sì méjì nìkan, kì í ṣe ohunkóhun mìíràn, ìyẹn sì ni ìbéèrè tí ó yẹ kí o bi í.

Ó ku IPsec gẹ́gẹ́ bí ìpele tí ó yan ìrìnàjò, tí ó jẹ́rìí àwọn alábàákẹ́gbẹ́, tí ó sì ń kọ̀kọ̀ ohun tí a sọ fún un pé kí ó dáàbò bò. Irú ìrìnàjò tí ó ń dáàbò bò jẹ́ ìpinnu ìṣètò tí ó gbọdọ̀ bá ìwéwọ́ tí àwọn ojú ìparí ń dá ní ti gidi mu, nítorí ìlànà tí a kọ fún àdírẹ́sì ìta GRE ń ṣe bíi ti mìíràn tí a kọ fún àwọn ìpilẹ̀ inú. Àpèjúwe GRE ń pa ẹrù, orí-ọ̀rọ̀ GRE àti ìlànà ìfijíṣẹ́ ìta mọ́ ní ìyàtọ̀ tí ó hàn, ìlànà rẹ pẹ̀lú nílò irú ìyàtọ̀ yẹn.

Kọ ipa ọ̀nà pákẹ́tì ṣáájú ìṣètò

Mú pákẹ́tì kan kí o sì kọ gbogbo orí-ọ̀rọ̀ tí a ń fi kún un ní ìtẹ̀léle tí a fi ń kún un, kí o sì dárúkọ ẹ̀rọ tí ó ń fi kún un. Fún olùlò tí ń pe wọlé, èyí sábà jẹ́ PPP nínú L2TP nínú IPsec; fún ìbòrí ibi, ó jẹ́ pákẹ́tì IP inú nínú GRE nínú IPsec. Bí ẹ̀rọ méjì bá fi orí-ọ̀rọ̀ kan náà kún un, ìwọ ní ìyípadà tàbí ojú-ọ̀nà ìlọ́po méjì, kò sì sí àtúnṣe ìlànà tí yóò tún un ṣe.

Àkójọ kan náà ń pinnu MTU, nítorí ìwọ̀n inú tí ó ṣe é lò ni MTU ipa ọ̀nà tí a wọ́n yọkúrò àwọn orí-ọ̀rọ̀ tí o ṣẹ̀ṣẹ̀ kọ, kì í ṣe ohunkóhun mìíràn. Má ṣe dà nọ́mbà jáde láti inú àkọsílẹ̀ fọ́rọ̀mù: pa ìnáwó IP, UDP àti ESP ìta pọ̀, lẹ́yìn náà GRE tàbí L2TP, lẹ́yìn náà PPP níbi tí ó bá yẹ, kí o sì yọkúrò nínú MTU ipa ọ̀nà tí o wọ́n gan-an. Àwọn àmì tí ó ń farahàn nínú ìgbéjáde ńlá nìkan, tàbí àwọn ìpàdé tí wọ́n fìdí kalẹ̀ tí wọ́n sì kú ní ìdáhùn ńlá àkọ́kọ́, sábà máa ń padà sí wí pé àfiwé ni a fi ṣe àfikún yẹn.

Ṣàyẹ̀wò ìpele kọ̀ọ̀kan lọ́tọ̀ọ̀tọ̀, láti ìta wọlé

Ṣe àwọn àyẹ̀wò ní ìtẹ̀léle kí o sì dúró ní èkínní tí ó kùnà. Ìlà kọ̀ọ̀kan ń dáhùn ìbéèrè tí ó yàtọ̀, nítorí náà ìkùnà ń tọ́ka sí ọ̀wọ̀n kan nínú ìwé iṣẹ́ dípò sísọ fún ọ pé ojú-ọ̀nà ti bàjẹ́.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Lórí àpótí Cisco, ìbámu rẹ̀ dá lórí ipa, ìlànà ọ̀rọ̀ pàtó sì dá lórí pẹpẹ àti ìtẹ̀jáde: show crypto session fún àwọn alábàákẹ́gbẹ́ IPsec, àwọn kíkà ojú-ọ̀nà fún ojú-ọ̀nà GRE tàbí ojú-ọ̀nà, àti ìjẹ́rìí VPDN tàbí PPP fún ipa ìpè. Àkójọ àṣẹ tí ó parí PPP kò fi ohunkóhun hàn nípa àtìlẹ́yìn GRE, ojú-ọ̀nà GRE tí ó ń ṣiṣẹ́ kò sì fi ohunkóhun hàn nípa iṣẹ́ PPP, nítorí náà ṣàyẹ̀wò ipa tí o ṣètò gan-an kì í ṣe èyí tí ó wà nínú àwòrán.

Kọ gbogbo ìjáde sí ẹ̀gbẹ́ ìlà ìwé iṣẹ́ tí ó jẹ mọ́. Àwọn àkọsílẹ̀ tí a ṣe nígbà tí àbùkù ṣì wà lórí ẹ̀rọ ní iye tí ó pọ̀ ju àwòrán ìtòlẹ́sẹẹsẹ tí a tún yà lẹ́yìn náà láti ìrántí.

Ṣètò ìtẹ̀léle ìwópalẹ̀, lẹ́yìn náà tún ṣàyẹ̀wò

Ìwópalẹ̀ ń lọ ní ìtẹ̀léle ìdàkejì fún ìdí kan: yọ ìrìnàjò tí a dáàbò bò kúrò nínú ìlànà IPsec kí o tó yọ ìwéwọ́ tí a kọ fún un kúrò, bí bẹ́ẹ̀ kọ, ìlànà yóò máa tọ́ka sí ojú-ọ̀nà tí kò sí mọ́, ìkójọ ìṣètò tí ó kàn yóò sì kùnà níbi tí kò dàbí pé ó ní í ṣe. Lórí Linux èyí túmọ̀ sí pípa àwọn àkọsílẹ̀ ipò àti ìlànà kúrò ṣáájú ojú-ọ̀nà, lórí olùdarí, yíyọ àwòrán kírípútò tàbí àkọsílẹ̀ profáìlì kúrò ṣáájú ojú-ọ̀nà.

Lẹ́yìn àtúntò, tún àwọn àkíyèsí ìtẹ́wọ́gbà mẹ́rin ṣe ní ọ̀kọ̀ọ̀kan: àrúdáwọ́lé ìta, ìsopọ̀ IPsec tí ó fìdí kalẹ̀, ìpàdé PPP tí ó fìdí kalẹ̀ níbi tí àpẹẹrẹ bá ní ìkan, àti ìránṣẹ́ inú sí àdírẹ́sì ìdí gidi. Ìmọ́lẹ̀ aláwọ̀ ewé kan kì í ṣe ẹ̀rí fún àwọn mẹ́ta yòókù, àlàfo yẹn sì ni àbùkù tí ó ń gbé pẹ́ jùlọ nínú ìgbéjáde — ojú-ọ̀nà tí ó wà lókè, tí a kọ̀kọ̀, tí kò sì ń rán ohunkóhun jáde nítorí a kò fi ipa ọ̀nà inú kún un rí.

Pa ìwé iṣẹ́ tí a kún mọ́ ẹ̀gbẹ́ ìṣètò ẹ̀rọ. Ọ̀wọ̀n kankan tí ìwọ kò lè kún ni ìpele tí kò ní iṣẹ́, ìpele tí kò ní iṣẹ́ sì sábà jẹ́ ìpele tí kò yẹ kí ó wà nínú àkójọ.