Ekstruzja sieci

Wyciąganie sieci to rodzaj tunelu VPN , w którym podsieć (lub host) jest przenoszona do innej lokalizacji bez żadnych zmian w reklamie routera . Taka podsieć jest kierowana normalnie, ale następnie wysyłana przez tunel VPN , aby pojawić się gdziekolwiek indziej w Internecie. Ten typ VPN jest często używany do:

• Dodanie publicznej przestrzeni adresowej IPv4 do lokalizacji, która ma tylko 1 publiczny adres IP , na przykład konsumenckie połączenie internetowe
• Przypisanie statycznego adresu IP do laptopa w roamingu , aby upewnić się, że jest on zawsze osiągalny na 1 statycznym adresie IP . Często odbywa się to za pomocą protokołu IPsec i L2TP lub XAUTH

W konfiguracji IPsec / Openswan IPv4 odpowiada to polityce w systemie klienckim, takiej jak:

conn mylaptop—extruded right=192.1.0.1 rightsubnet=0.0.0.0/0 left=%defaultroute leftsubnet=192.0.0.1/32 leftsourceip=192.0.0.1

Gdy to połączenie IPsec jest aktywne, domyślnym adresem IP dla połączeń wychodzących jest 192.0.0.1. Ponieważ jest to objęte IPsec , pakiet zostanie zaszyfrowany i wysłany do zdalnej bramy IPsec pod adresem 192.1.0.1. Zostanie odszyfrowany, a następnie wysłany do pierwotnego miejsca docelowego. Pakiety odpowiedzi podążają podobną ścieżką w odwrotnej kolejności.

Korzystając z leftsubnet=192.0.0.0/24, można nawet uruchomić małą sieć z laptopem jako domyślną bramą i udostępnić publiczne adresy IP wielu komputerom, z których wszystkie wydają się znajdować w odległej lokalizacji.

Ogólnie rzecz biorąc, VPN IPsec są używane w wielu przypadkach do kierowania sieciami prywatnymi , a nie publicznymi, więc chociaż ta konfiguracja nie jest nieprawdopodobna, jest niezwykła dla administratorów VPN.

Wiele sytuacji związanych z dostępem zdalnym przebiega jako ekstruzja sieciowa, dzięki czemu korporacyjna zapora sieciowa może kontrolować ruch przychodzący do i wychodzący z komputera przenośnego.

Tej techniki można również użyć do tunelowania w przestrzeni IPv6 do sieci, w których dostępna jest tylko przestrzeń IPv4 (lub odwrotnie)

Te tunele są niewidoczne dla traceroute , ponieważ tunel IPsec pojawia się jako pojedynczy dodatkowy przeskok, podobnie jak podsieć .