Ta ni ó ń dáhùn ní àdírẹ́sì ìkàáyà VPN gan-an?

Àdírẹ́sì tí ó wà láìlò nínú ìpín àjọ kì í ṣe olùgbọ́, àti pé kíkún un mọ́ firewall kì í dá ọ̀kan. Ohun kan gbọ́dọ̀ parí IKE lórí àdírẹ́sì yẹn, ìlànà sì yàtọ̀ bóyá ẹnubodè ni ó ní àdírẹ́sì náà tàbí ohun-èlò tó wà lókè ni ó ń túmọ̀ rẹ̀. Ọ̀nà packet ni ó yà wọ́n méjèèjì, ó sì tún pinnu irú ẹ̀yà pẹlẹbẹ́ tí o nílò kí ẹnikẹ́ni tó ṣí ìbéèrè àyípadà. Kọ́kọ́ ṣe àwòrán ọ̀nà náà, lẹ́yìn náà yan.

Ọ̀nà packet tó wà lẹ́yìn àdírẹ́sì

Alábàákẹ́gbẹ́ ń fi IKE ránṣẹ́ sí àdírẹ́sì tí wọ́n fún un, lórí UDP 500 tàbí lórí UDP 4500 nígbà tí ìrékọjá NAT bá wà. Ohun-èlò èyíkéyìí tí ó bá di àdírẹ́sì yẹn mú lórí ọ̀nà yóò gba datagram níbùdó tàbí kí ó dáhùn, tàbí kí ó gbé e lọ síbòmíràn. Ìwọ̀nyí ni àǹfààní méjì péré, gbogbo ohun mìíràn nínú àpilẹ̀kọ yìí sì ń bọ láti inú èyí tó jẹ́ òtítọ́.

Gbígbà níbùdó túmọ̀ sí pé socket kan wà lórí ohun-èlò yẹn, tí ó so mọ́ àdírẹ́sì yẹn. Gbígbé lọ túmọ̀ sí pé wọ́n tún datagram kọ, tí wọ́n sì fi ránṣẹ́ sí ìparí mìíràn, tí yóò ní socket náà nígbà náà. Ìlànà firewall tí ó gbà UDP 500 kò sọ ohun kan fún ọ nípa èyí tó ń ṣẹlẹ̀ nínú àwọn méjèèjì.

Kọ àkọsílẹ̀ kí o tó fi ọwọ́ kan ohunkóhun: àdírẹ́sì tí àwọn alábàákẹ́gbẹ́ ń kàn, bí nẹ́tíwọ́kì òkè ṣe ń gbé e dé, interface àdúgbò tàbí ìparí ọgbọ́n tí ó gbà á, àti ìlànà tí ó ń dáhùn IKE. Ìlà mẹ́rin, a sì lè ṣàyẹ̀wò ọ̀kọ̀ọ̀kan. Tí ọ̀kan nínú wọn kò bá mọ̀, àìmọ̀ yẹn ni iṣẹ́ àpẹrẹ, kì í ṣe àlàyé ìmúṣẹ tí a máa pinnu lẹ́yìn. Fífi wọ́n kún lẹ́yìn tí wọ́n gba ìbéèrè àyípadà ni ọ̀nà tí ìlànà ìtumọ̀ fi ń wọ ohun-èlò tí kò tọ́.

Àpẹrẹ A: ẹnubodè ni ó ní àdírẹ́sì

Nínú àpẹrẹ àkọ́kọ́ ẹnubodè fúnra rẹ̀ di àdírẹ́sì mú, yálà gẹ́gẹ́ bí àdírẹ́sì kejì lórí interface tó wà, gẹ́gẹ́ bí àdírẹ́sì lórí interface àkànṣe, tàbí gẹ́gẹ́ bí loopback tí pẹlẹbẹ́ ń gbà gẹ́gẹ́ bí ìparí tunnel. Ìwọ̀nyí ni ẹ̀yà mẹ́ta ọ̀tọ̀ọ̀tọ̀ pẹ̀lú ọ̀nà ìṣètò mẹ́ta ọ̀tọ̀ọ̀tọ̀, pẹlẹbẹ́ tí ó gbà ọ̀kan sì lè máà gbà àwọn yòókù.

Jẹ́rìí sí i pé pẹlẹbẹ́ àti ìtújáde gba ìṣètò yẹn gan-an kí o tó ṣe àpẹrẹ yí i ká. Àkójọpọ̀ tí a ti ṣe ọ̀nà rẹ̀, àdírẹ́sì àfikún lórí interface àti ìparí loopback kò lè pààrọ̀ fún ara wọn, àkọsílẹ̀ ìtújáde kan kò sì ṣèlérí pé èyí tó kàn yóò hùwà bẹ́ẹ̀.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Socket tí ó ń gbọ́ ni ẹ̀rí. Tí ohunkóhun kò bá so mọ́ àdírẹ́sì, ẹnubodè kì í ṣe olùparí bí table ìpàtẹ́lẹ̀ ṣe sọ, àti gbígbà packet yóò fi hàn pé àwọn datagram ń bọ̀ láìsí ẹnikẹ́ni tó ń dáhùn wọn.

Má ṣe fi interface kejì sínú subnet tí ó ti wà níbòmíràn nínú topology, má sì ṣe rò pé pẹlẹbẹ́ yóò yanjú rẹ̀. Subnet interface tí ó ń wọ ara wọn yóò mú yíyàn orísun àìdánilójú, àti lórí ọ̀pọ̀ pẹlẹbẹ́, ìkọ̀ láti ṣètò rárá.

Àpẹrẹ B: ohun-èlò òkè ń túmọ̀ rẹ̀

Nínú àpẹrẹ kejì firewall òkè di àdírẹ́sì àkànṣe mú, ó sì ń gbé ìṣàn lọ sí ẹnubodè VPN mìíràn. Ìyẹn ni ìtumọ̀ ibi-ìlọ pẹ̀lú ọ̀nà ìpadà, ó sì jẹ́ àpẹrẹ tí ó tọ́ pátápátá nígbà tí a bá kọ ọ́ bẹ́ẹ̀.

Kì í ṣe ẹ̀rí pé ohun-èlò òkè ti gba socket VPN àdúgbò. Ìtumọ̀ ń gbé àwọn packet lọ; kì í sọ àpótí òkè di olùdáhùn IKE. Tí wọ́n bá yọ ìlànà òkè kúrò tàbí ọ̀nà ìpadà rẹ̀ bá já, VPN yóò dúró bí ẹnubodè bá ti ní ìlera àti àwọn olùgbọ́ tirẹ̀ kò bá farapa.

Kọ àwọn àdírẹ́sì méjèèjì: èyí tí àwọn alábàákẹ́gbẹ́ ń kàn àti èyí tí ẹnubodè ń rí gan-an. Lẹ́yìn náà kọ gbígbé àti ọ̀nà ìpadà, nítorí ìtumọ̀ tí ó ń ṣiṣẹ́ fún UDP 500 ṣùgbọ́n kì í ṣe fún ESP tí a fi àpò ṣe yóò so, lẹ́yìn náà yóò kùnà láti gbé ìṣàn, èyí tí ó jẹ́ àìṣẹ́ tó ń da ènìyàn láàmú láti ṣàtúpalẹ̀ lẹ́yìn.

Ìdánimọ̀ kì í ṣe àdírẹ́sì òde

IPsec ya ìparí tunnel sọ́tọ̀ kúrò nínú ìṣàn tí ó ń dáàbò bò, ìkọ́lé sì ń tọ́jú àwọn ìpinnu yẹn ní ibi ọ̀tọ̀ọ̀tọ̀. Yíyí àdírẹ́sì tí àwọn alábàákẹ́gbẹ́ ń kàn kò yí i lọ́nà aládàáṣe bí àwọn àkọ́kọ́ inú wo ni a gbà, ọ̀nà wo ni a fi sínú ẹ̀rọ, tàbí àwọn ohun àmúṣọrọ̀ wo ni ìpàdé lè dé.

Ìdánimọ̀ tí a ti jẹ́rìí síi tún yà sọ́tọ̀. IKEv2 ń gbé ẹrù ìdánimọ̀ àti pàṣípààrọ̀ ìjẹ́rìí tí kò gbọ́dọ̀ bára mu pẹ̀lú àdírẹ́sì packet òde, ìdí niyẹn tí àpẹrẹ tí a túmọ̀ fi ṣì lè jẹ́rìí sí i lọ́nà tọ́.

Òmìnira yẹn wúlò, ó sì tún jẹ́ páànù. Orúkọ DNS méjì tí ó ń yanjú sí olùgbọ́ kan ṣoṣo kì í yan backend VPN ọ̀tọ̀ọ̀tọ̀, ìwé-ẹ̀rí tí ó dárúkọ ìdánimọ̀ kan kò sì ní tẹ́ alábàákẹ́gbẹ́ tí ó ń retí òmíràn lọ́rùn. Jẹ́rìí sí i ohun tí alábàákẹ́gbẹ́ ń ṣàyẹ̀wò kí o tó rò pé àdírẹ́sì nìkan ni ó ń pinnu rẹ̀.

Gbà àpẹrẹ náà nípa wíwo ìsopọ̀ kan

Ṣàyẹ̀wò ibi tí a ti ń fi ìsopọ̀ tuntun tí a fọwọ́ sí dé gan-an, ìdánimọ̀ wo ni ó ń dáhùn, àti ìṣàn àdáni wo ni a gbà lẹ́yìn náà. Àkíyèsí mẹ́ta, ìpele mẹ́ta ọ̀tọ̀ọ̀tọ̀, àti wíwá àdírẹ́sì ní gbangba tí ó ṣàṣeyọrí kò dán ọ̀kan nínú wọn wò.

Pa ipò òdì mọ́ pẹ̀lú: alábàákẹ́gbẹ́ tí kò gbọ́dọ̀ gbà, tàbí àkọ́kọ́ inú tí kò gbọ́dọ̀ dé, tí a ṣàyẹ̀wò lẹ́yìn àyípadà. Àkọsílẹ̀ tí o kọ ní ìbẹ̀rẹ̀ ni ó mú kí ìdánwò yẹn ṣeé ṣe láìtún àpẹrẹ kọ́ láti inú ìrántí.

Èrò gbogbo èyí ni láti jẹ́ kí olùní nẹ́tíwọ́kì yan ọ̀nà ìpín tí a gbà dípò gbígbẹ́kẹ̀ lé ọ̀rọ̀ gbogbogbò nípa ohun tí gbogbo firewall lè ṣe pẹ̀lú àdírẹ́sì àfikún. Ọ̀rọ̀ yẹn gan-an ni ibi tí àwọn àpẹrẹ yìí ti ń lọ́nà tí kò tọ́, nítorí ó ń dún bíi ohun tí ó gbéṣẹ́ lórí gbogbo pẹlẹbẹ́, kò sì jẹ́ òtítọ́ lórí èyíkéyìí ní gbogbogbò. Àkọsílẹ̀ ìlà mẹ́rin yanjú rẹ̀ fún pẹlẹbẹ́ rẹ ní ìṣẹ́jú mẹ́wàá.