Ìdáhùn VPN láti ibùdó dé ibùdó kò gba inú tunnel kọjá

Mo lo òwúrọ̀ kan lórí tunnel tí ó gorí dáadáa tí ó sì ń gbé traffic lọ sí ọ̀nà kan ṣoṣo: ẹ̀ka náà lè dé ọ̀dọ̀ file server ní ilé-iṣẹ́ àkọ́kọ́, gbogbo ìsopọ̀ tí wọ́n ṣí láti ilé-iṣẹ́ àkọ́kọ́ sínú ẹ̀ka sì kú ní SYN àkọ́kọ́. Àwọn SA ti wà lórí, àwọn counter tunnel ń pọ̀ sí i, handshake kò sì jẹ́ ìṣòro rí. Wọ́n ń tọ́ ìdáhùn lọ sí ibi tí tunnel kò dé, ìyàn yẹn sì jẹ́ ti ẹ̀gbẹ́ jínjìn. VPN láti ibùdó dé ibùdó ń gbé àwọn packet tí host fi fún gateway nìkan, host kọ̀ọ̀kan sì ń ṣe ìyàn yẹn lọ́tọ̀ọ̀tọ̀, ní ọ̀nà kọ̀ọ̀kan, láti inú routing table tirẹ̀.

Àwọn ọ̀nà méjèèjì ni wọ́n ń tọ́ lọ́tọ̀ọ̀tọ̀

IP kò rántí ọ̀nà ìjíròrò. Gbogbo host tí ó bá fi packet ránṣẹ́ ń ṣe ìwádìí prefix tí ó gùn jùlọ tirẹ̀, yan ìfò kan tí ó tẹ̀lé, kí ó sì gbàgbé ìpinnu náà. Ìbéèrè àti ìdáhùn jẹ́ packet méjì tí kò ní ìsopọ̀ tí wọ́n ṣe àpapọ̀ sínú ìsopọ̀ kan náà, tunnel sì jẹ́ ìfò kan tí ẹnikẹ́ni nínú wọn lè lò tàbí kò lò. Kò sí ohun kan nínú pàṣípàrọ̀ IKE tí ń kọ́ server jínjìn bí yóò ṣe dé subnet rẹ; ìjíròrò ń gbà lórí àwọn prefix tí a lè fi ṣe encryption nìkan.

Májẹ̀mú yẹn ni ẹnubodè kejì. Ní strongSwan, àwọn selector traffic ni leftsubnet àti rightsubnet, packet tí orísun tàbí ibi tí ó lọ kò sí nínú tọkọtaya tí wọ́n gbà kò ní í ṣe encryption, bí routing table bá sọ ohunkóhun. Prefix tí wọ́n tọ́ sínú tunnel ṣùgbọ́n tí kò sí nínú àwọn selector jẹ́ ìkùnà ìdákẹ́jẹ́ẹ̀ ní ọ̀nà kan: ọ̀nà náà dàbí ẹni tí ó tọ́, packet ṣì jáde ní gbangba tàbí wọ́n sọ ọ́ nù, àkọsílẹ̀ charon nìkan ló ń kùn.

Host jínjìn kò mọ ohunkóhun nípa tunnel rẹ

Nínú LAN jínjìn, ìdáhùn jẹ́ packet déédéé tí wọ́n fi ránṣẹ́ sí client rẹ. Host ibi tí ó lọ kò rí IPsec header kankan, kò sì ní ìdí láti yan gateway VPN ju; ó ń wá prefix rẹ, kò rí ohun kan tí ó ṣe pàtó ju ọ̀nà àkọ́kọ́ tirẹ̀ lọ, ó sì ń tẹ̀lé ọ̀nà yẹn. Bí ọ̀nà àkọ́kọ́ bá tọ́ka sí firewall pàtàkì kan, firewall náà ní ọ̀nà padà sínú tunnel tàbí kò ní. Tí kò bá ní, ìwọ yóò gba ìsọlọ́jẹ́ ìdákẹ́jẹ́ẹ̀, ICMP unreachable, tàbí ìdáhùn tí ó jáde ní interface tí ó kọjú sí internet kí ó sì kú.

Interface kejì tó láti fi ba èyí jẹ́ pẹ̀lú bí ọ̀nà bá wà. NAS tí ó ní management link ní VLAN mìíràn, server tí ó ní backup uplink, ìlànà policy tí ń fi ìwọ̀n orísun kan ránṣẹ́ sí table kejì: ọ̀kan nínú àwọn wọ̀nyí lè mú ìdáhùn náà. Ní Linux, ip rule show àti ip route show table all ń fi àwọn ìlànà àti table tí àkójọ àkọ́kọ́ ń fi pamọ́ hàn.

Ka ìpinnu náà lórí ẹ̀rọ tí ń fi ìdáhùn ránṣẹ́

Bèèrè lọ́wọ́ kernel kí o tó yí ohunkóhun padà, kí o sì fún un ní àdírẹ́sì orísun, nítorí àwọn ìlànà tí ó sinmi lórí orísun ń yí ìdáhùn padà.

ip route get 10.10.5.10 from 10.20.30.15
ip rule show
ip route show table all
ss -tn state established "( sport = :445 )"

Ìjáde náà ń dárúkọ interface tí ó jáde àti ìfò tí ó tẹ̀lé. Bí interface náà kò bá jẹ́ èyí tí ó kọjú sí gateway VPN, ìwọ ti rí àbùkù náà, iṣẹ́ tí ó kù sì ni láti yan ibi tí ọ̀nà náà yẹ kí ó wà. Ping láti gateway kò fi púpọ̀ hàn níbí: ó ń dáhùn pẹ̀lú àdírẹ́sì tí host jínjìn lè gbé kalẹ̀, kì í ṣe àdírẹ́sì laptop rẹ.

Ní Windows, àwọn ìbámu ni Find-NetRoute -RemoteIPAddress 10.10.5.10 fún ìpinnu àti Get-NetRoute fún table. Ọ̀nà tí wọ́n fi New-NetRoute kún tí ó sì gbé metric tí ó ga ju ti àkọ́kọ́ yóò pàdánù ní ìdákẹ́jẹ́ẹ̀, nítorí náà ka ọ̀wọ̀n metric, kì í ṣe àkọsílẹ̀ náà. Lẹ́yìn náà fi packet fi hàn: tcpdump -ni any "host 10.10.5.10 and tcp port 445" lórí interface LAN jínjìn ń fi ìbéèrè hàn, àti àlẹ̀mọ́ kanna ní ẹ̀gbẹ́ tunnel ń fi hàn bóyá ìdáhùn padà. Ìbéèrè tí a rí láìsí ìdáhùn túmọ̀ sí pé wọ́n tọ́ ìdáhùn lọ síbòmíràn tàbí wọ́n sọ ọ́ nù; ìdáhùn lórí interface tí kò tọ́ yóò fún ọ ní ẹlẹ́bi kí o tó fọwọ́ kan ọ̀nà.

Nígbà tí gateway server kì í ṣe ìparí VPN

Ọ̀pọ̀lọpọ̀ ibùdó ń fi firewall sáàárín àwọn server àti concentrator. Firewall yẹn ń gbé ìdáhùn náà lọ, nítorí náà ó nílò ọ̀nà fún prefix client rẹ tí ó tọ́ka sí gateway VPN, àti policy gbígbé lọ ní ọ̀nà méjèèjì. Àwọn ẹ̀rọ tí ó ń pa ipò mọ́ ń mú un burú sí i: ìbéèrè náà kọjá firewall láti host LAN tí ó gbà á láàyè, ìdáhùn wá ń bọ̀ láti ọ̀nà mìíràn, àkọsílẹ̀ connection tracking kò sì bá a mu mọ́, nítorí náà wọ́n sọ packet náà nù gẹ́gẹ́ bí aláìwúlò dípò kíkọ̀ ọ́. Ìdí nìyẹn tí log policy fi dàbí òfìfo nígbà tí traffic ń parẹ́.

Gateway ní àlẹ̀mọ́ kejì tirẹ̀. Àlẹ̀mọ́ ọ̀nà yíyípadà Linux ń sọ àwọn packet nù tí a kò lè dé orísun wọn nípasẹ̀ interface tí wọ́n gbà wọlé, èyí sì ni ìrísí ọ̀nà ìpadà aláìdọ́gba tí ó tọ́ gan-an. ìmọ̀nà gbígbé lọ ti strongSwan ń béèrè net.ipv4.ip_forward àti net.ipv4.conf.all.rp_filter tí a tú sílẹ̀ nítorí ìdí yẹn gan-an. Iye líle 1 lórí èyíkéyìí gateway ń ba ọ̀nà tí ó tọ́ jẹ́ ní ìdákẹ́jẹ́ẹ̀, nstat -az sì ń fi àwọn ìsọlọ́jẹ́ hàn bí o bá mọ ibi tí o yẹ kí o wò.

Tọ́ ọ̀nà tàbí túmọ̀, lẹ́yìn náà ṣàyẹ̀wò ní ọ̀nà méjèèjì

Àwọn àtúnṣe méjèèjì kò dọ́gba. Fífi ọ̀nà kún ń pa àdírẹ́sì client mọ́ bí ó ti wà, nítorí náà àwọn ìlànà tí ó sinmi lórí orísun, àkọsílẹ̀ audit àti àwọn app tí ń kọ ẹni tí ó pè yóò máa ṣiṣẹ́; iye tí ó yá ni pé gbogbo ìfò tí ó ń ṣe ìpinnu nílò ọ̀nà náà, ìyẹn túmọ̀ sí ibi púpọ̀ láti ṣe àṣìṣe. Àbòjú lórí gateway jínjìn ń rọ ọ̀nà ìpadà mọ́ ìfò kan, nítorí pé ìdáhùn ti ń lọ sí gateway fúnraarẹ̀ báyìí, ó sì ń fi pamọ́ irú client tí ó ṣe irú ohun tí ó ṣe.

iptables -t nat -A POSTROUTING -o eth1 -s 10.20.30.0/24 -j MASQUERADE

Yan án pẹ̀lú ìmọ̀: ní kété tí àwọn client bá farahàn gẹ́gẹ́ bí àdírẹ́sì gateway, àwọn ACL tí ó sinmi lórí orísun kò ní í ṣe ìyàtọ̀ wọn mọ́, conntrack sì gbọ́dọ̀ di mapping mú kí wọ́n lè kọ ìdáhùn padà sínú tunnel. Bí àwọn selector kò bá tíì yọ prefix client kúrò, NAT kò yí ohunkóhun padà, nítorí pé ìbéèrè kò tíì wọ tunnel rí.

Kí o tó sọ pé ó ti tán, ṣàyẹ̀wò ohun mẹ́rin lẹ́sẹẹsẹ: ọ̀nà lórí host tí ń fi ìdáhùn ránṣẹ́, ọ̀nà lórí gbogbo ìfò tí ń gbé e lọ, àwọn selector tí ń bo prefix méjèèjì, àti gbígbà tí ó fi hàn pé ìdáhùn ń wọ tunnel pẹ̀lú orísun tí o retí. Lẹ́yìn náà tún ìdánwò náà ṣe láti ibùdó mìíràn. Bí ọ̀nà kan bá kọjá, ìyẹn jẹ́ àpẹẹrẹ tí ó ṣí sílẹ̀ ní ìlàjì, ọ̀nà kejì sì sábà kùnà nítorí ìdí tí ó yàtọ̀ sí èyí tí o ṣẹ̀ṣẹ̀ túnṣe.