VPN láti ibi dé ibi tí ó dá lórí ọ̀nà àti èyí tí ó dá lórí ìlànà: kí ni ó yàtọ̀

Àwọn àpẹẹrẹ méjèèjì ń dáàbò bo ìrìnàjò kan náà pẹ̀lú ẹ̀rọ IPsec kan náà, wọ́n sì yàtọ̀ ní ohun tí ó pinnu ìpín tí yóò wọ inú ihò. Nínú ìsopọ̀ tí ó dá lórí ìlànà, àwọn olùyàn ìrìnàjò tí a ti gbàdúrà ni ó ṣe iṣẹ́ yẹn; nínú èyí tí ó dá lórí ọ̀nà, ọ̀nà tí ó tọ́ka sí ojú-ọ̀nà ihò ni ó ṣe é. Dídàpọ̀ àwọn méjèèjì máa ń dá ìtànná àtìlẹ́yìn tí a mọ̀ mọ́lẹ̀, nínú èyí tí ihò sọ pé ó ti dúró ṣinṣin ṣùgbọ́n ètò kò dé ibikíbi. Ìyàtọ̀ yìí ṣe pàtàkì jù nígbà tí o bá ń fi nẹ́tíwọ́kì kún, tí o ń ṣiṣẹ́ pẹ̀lú ìlànà ọ̀nà, tàbí tí o ń ṣàyẹ̀wò ọ̀nà tí ó ń jáde ní ìdákẹ́jẹ́ nípasẹ̀ ibi tí kò tọ́.

Ọ̀nà méjì láti pinnu kí ni ó wọ inú ihò

VPN tí ó dá lórí ìlànà kọ́ ìlànà ààbò tí ó bá àwọn ìpilẹ̀ ọ̀rọ̀ orísun àti ibi tí ó ń lọ mu, lẹ́yìn náà ó ń fi ààbò bo ohun gbogbo tí ó bá mu. Alájọṣepọ̀ gbọdọ̀ gbàdúrà àwọn olùyàn tí ó bá ara wọn mu, nítorí náà ìwọ̀n tí ó wúlò ní ìparí di ìpàdé ohun tí ẹ̀gbẹ́ méjèèjì dábàá. Kò sí ohun tí a dáàbò bo ní ìta ìpàdé yẹn, bí tábìlì ọ̀nà bá sọ ohunkóhun.

VPN tí ó dá lórí ọ̀nà dá ojú-ọ̀nà kan tí ó dúró fún ihò ó sì jẹ́ kí tábìlì ọ̀nà rán ìrìnàjò sínú rẹ̀. Ẹ̀mí IKE ṣì ń fi ipò àti ìlànà fún ojú-ọ̀nà kọ̀ọ̀kan sílẹ̀, ìyẹn sì ni kúlẹ̀kúlẹ̀ tí àwọn ènìyàn ń gbé kọjá nígbà tí wọ́n pinnu pé àwọn ọ̀nà ti rọ́pò ìfipamọ́. Àwọn àpẹẹrẹ méjèèjì ń fi IPsec pamọ́; kìkì ọ̀nà yíyàn ni ó yàtọ̀.

Ka àfiwé tí ó wà nísàlẹ̀ gẹ́gẹ́ bí àkójọ àmì àìṣeyọrí kì í ṣe gẹ́gẹ́ bí pátákó àmì, nítorí kò sí ìlà tí ó ń ṣẹ́gun fúnra rẹ̀.

Tí ó dá lórí ìlànà: olùyàn ni àdéhùn

Àwọn olùyàn ni a ń gbàdúrà, kì í ṣe kìkì ṣíṣe àtúntò wọn. Dábàá 10.10.0.0/16 ní ẹ̀gbẹ́ kan àti 10.10.1.0/24 ní ẹ̀gbẹ́ kejì, ìdàpọ̀ yóò sì bo ibi tí ìgbàdúrà náà dúró, nígbà tí gbogbo ẹrọ mìíràn yóò wà ní ìta.

Ka ipò tí a ti fi sílẹ̀ dípò fáìlì àtúntò. Lórí alájọṣepọ̀ Linux, àwọn tábìlì kérẹ́nẹ́lì fúnra rẹ̀ ni òtítọ́ ìpìlẹ̀, wọ́n sì ń fi hàn ohun tí ó yè kúrò nínú ìgbàdúrà. Ìlànà tí ó dárúkọ àwọn ìpilẹ̀ tí ó tọ́ láìsí ipò tí ó bá mu túmọ̀ sí pé ìdàpọ̀ kò dìde rí. Ipò tí a so pọ̀ mọ́ ìlànà fún ìpilẹ̀ tí kò tọ́ ni ìṣòdì sí, ó sì ń dá ihò tí ó dàbí aláílára nígbà tí nẹ́tíwọ́kì abẹ́ kan kò dé ibikíbi.

sudo ip xfrm state
sudo ip xfrm policy
sudo swanctl --list-sas

Fi àwọn ìjáde méjèèjì wé àwọn ìpilẹ̀ tí o ro pé o ń dáàbò bò. Ìfiwé kan yẹn ṣe ìpinnu fún ọ̀pọ̀ ìròyìn nípa ihò tí ó ń ṣiṣẹ́ pẹ̀lú sáàbà tí kò dé. Ó tún fi hàn ẹ̀gbẹ́ tí ó yẹ kí a yí padà, nítorí àìbámu sábà máa ń hàn ní ọ̀nà kan ṣoṣo.

Tí ó dá lórí ọ̀nà: ojú-ọ̀nà ni àdéhùn

Ojú-ọ̀nà XFRM fún ihò ní orúkọ àti ìdánimọ̀, ìrìnàjò sì dé ọ̀dọ̀ rẹ̀ nítorí tábìlì ọ̀nà sọ bẹ́ẹ̀. Ọ̀pọ̀ ìpilẹ̀ ọ̀nà jíjìnnà yóò di ìṣòro ọ̀nà dípò ìṣòro olùyàn, ìlànà ọ̀nà sì lè kéde wọn. Ìyẹn ni èrè gidi, kì í ṣe ìfipamọ́.

Ojú-ọ̀nà kò mú àìní ìlànà kúrò. Ẹ̀mí ń fi àwọn òfin tí ó so mọ́ ìdánimọ̀ ojú-ọ̀nà sílẹ̀ fún ojú-ọ̀nà kọ̀ọ̀kan, nítorí náà pákétì tí ó dé ojú-ọ̀nà tí kò tọ́ ṣì ń kùnà. Adírẹ́sì orísun tí alájọṣepọ̀ kò ní gbà yóò tún kùnà, àní pẹ̀lú ọ̀nà tí ó péye. Tí ó dá lórí ọ̀nà túmọ̀ sí pé ọ̀nà ni ó pinnu ìwọlé, kì í ṣe pé ìlànà ti pòórá.

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip route add 10.20.0.0/16 dev xfrm0
ip -s link show xfrm0
ip route get 10.20.5.10

Ṣọ́ra àwọn olùka ojú-ọ̀nà nígbà tí ọ̀nà bá ti wà ní ibi. Ọ̀nà wà ṣùgbọ́n àwọn olùka dúró ní òdo túmọ̀ sí pé kò sí ohun tí a ń bá mu sínú ihò, èyí tí ó sábà tọ́ka sí ipò tí ó ṣẹ́kù dípò ọ̀nà tí ó ṣẹ́kù.

Ibi tí àwọn àpẹẹrẹ méjèèjì yàtọ̀ ní ti gidi

Fífi nẹ́tíwọ́kì kún ni ìdánwò tí ó mọ́ jù láti mọ àpẹẹrẹ tí ó bá ọ mu. Àpẹẹrẹ tí ó dá lórí ọ̀nà ń fi ọ̀nà kan kún ó sì ń gbòòrò olùyàn ní ẹ̀ẹ̀kan péré, nígbà tí àpẹẹrẹ tí ó dá lórí ìlànà ń tún àwọn orísìí ìpilẹ̀ ṣe ní ẹ̀gbẹ́ méjèèjì ó sì ń gbàdúrà lẹ́ẹ̀kan sí i. Nẹ́tíwọ́kì abẹ́ méjì tí ó dúró ṣinṣin mú àtúnṣe yẹn di ohun tí kò ṣe pàtàkì, ogún sì sọ ọ́ di iṣẹ́ àgbékalẹ̀.

Kò sí àpẹẹrẹ tí ó rọ́pò odi iná, àwọn àfiwé sì sábà dúró kí ó tó dé ibi yìí. Olùyàn gbòòrò tàbí ọ̀nà gbòòrò ni ó pinnu ohun tí a ó fi pamọ́, kì í ṣe ohun tí a gbà láàyè.

Ìhùwàsí MTU tún yàtọ̀ ní ìṣe. Ìkórìí ń dín ẹrù tí ó wúlò kù, ojú-ọ̀nà tí ó dá lórí ọ̀nà sì gbé MTU tirẹ̀, nítorí náà dídín MSS ní àwọn ibùdó méjèèjì ń yẹra fún àmì ihò dúdú níbi tí àwọn ìdáhùn kékeré ti ń dé tí àwọn ńlá sì ń pòórá. Àwọn ihò tí ó dá lórí ìlànà pàdé odi kan náà láti ẹ̀gbẹ́ kejì, nítorí olùyàn kò sọ ohunkóhun nípa ìwọ̀n pákétì. Fi dídín náà kalẹ̀ pẹ̀lú ìpinnu dípò kí o dá alájọṣepọ̀ lẹ́bi.

Ìṣíkiri láìsí pípadà ọ̀nà ìpadà

Kọ àwọn orísìí ìpilẹ̀ tí ó wà sílẹ̀ kí o tó yí ohunkóhun padà, lẹ́yìn náà gbé ọ̀nà ètò kan lọ kí o sì wo ó láti ìbẹ̀rẹ̀ dé ìparí. Ihò tí ó dúró kì í ṣe ihò tí ó ń ránṣẹ́, ìyàtọ̀ sì ń farahàn ní ọ̀nà ìdáhùn.

Nígbà tí àwọn alájọṣepọ̀ so mọ́ra ṣùgbọ́n àwọn ẹrọ LAN kò lè, ṣàyẹ̀wò ọ̀nà ìpadà àti adírẹ́sì orísun tí ẹrọ jíjìnnà yóò lò. Ẹrọ tí ó ní ojú-ọ̀nà méjì lè dáhùn láti èyí tí kò tọ́, kò sì sí ìyípadà olùyàn tí ó tún èyí ṣe. Mú ìrìnàjò ní ẹ̀gbẹ́ méjèèjì kí o tó tún àwọn àlùmọ̀kọ́ọ́rọ́ ṣe.

ip route get 10.20.5.10
sudo tcpdump -ni any host 10.20.5.10 and icmp
sudo swanctl --list-conns

Pa ọ̀nà ìṣàkóso tí kò gbára lé ihò mọ́ nígbà tí o ń ṣiṣẹ́. Pípadà sẹ́yìn rọrùn nígbà tí ìwọlé ibùdó fúnra rẹ̀ kò bá gùn orí ìsopọ̀ tí o ń ṣàyẹ̀wò.