IPsec-deurlaat op ’n tuisroeteerder: wat dit werklik doen

Roeteerder-deurlaatskakelaars is deurlaattoegewings vir ’n toestel agter hulle, nie VPN-dienste nie. Dit registreer nie die roeteerder as ’n kliënt nie, hou nie aanmeldgegewens nie en stuur nie elke toestel in die huis deur ’n afgeleë uitgang nie. Wat dit doen, is om te bepaal hoe een protokol adresomsetting en filters oorsteek. Sodra dit duidelik is, word die skakelaar maklik om te toets en maklik om af te laat.

Wat die roeteerder werklik doen

Die roeteerder sit tussen ’n kliënt en ’n IPsec-eweknie en stuur pakkette aan wat hy nooit ontwerp is om te verstaan nie. Vervaardigers implementeer die funksie op minstens drie maniere: ’n protokolhelper wat toestand volg of herskryf, ’n filteruitsondering wat ophou om ESP te laat val, of ’n versoenbaarheidsmodus vir ouer kliënte. Die etiket in die webkoppelvlak sê selde watter van die drie jy het. Net die firmware-notas of ’n pakketopname sal dit sê.

’n Helper kan dinge ook erger maak. Bystand wat vir ’n ouer vloei geskryf is, steur soms ’n kliënt wat adresomsetting reeds korrek hanteer. Wanneer ’n moderne kliënt met die opsie af werk, is dit die beter opset om dit af te hou.

Deurlaat gee nooit die eweknieë se sleutels aan die roeteerder nie. Dit sien steeds die buitenste adresse en poorte, en pas steeds sy eie deurstuurbeleid daarop toe.

NAT en NAT-T bepaal die pad

IPsec is nie gebou om adresomsetting te oorleef nie, daarom het die standaarde ’n omhulsel bygevoeg. NAT-deurgang kapsel ESP in UDP in, wat ’n gewone NAT-tabel die vloei laat dra, en die onderhandeling kom tydens IKE oor daardie skakelaar ooreen (RFC 3948). IKE self gebruik UDP 500, terwyl die ingekapselde pad tipies UDP 4500 gebruik.

Daarom is ’n firewall-reël wat net protokol 50 toelaat nie genoeg op ’n omgesette pad nie. Om 4500 te blokkeer breek die geval waarvoor die omhulsel bestaan, en om 500 te blokkeer stop die onderhandeling voordat enige tonnel gevorm word. Albei rigtings maak saak, want ’n staatvolle roeteerder laat die antwoord gewoonlik eers toe nadat hy die versoek gesien het. Om ’n poort te bereik is nie dieselfde as om verifikasie te voltooi nie, en ook nie dieselfde as om beskermde verkeer deur te stuur nie.

Ouer reëlings verskil genoeg dat ’n gids wat daarvoor geskryf is, kan mislei. Wanneer ’n kliënt albei modusse bied, toets die een wat jou eweknie dokumenteer eerder as die een met meer soekresultate.

Vind die fase wat misluk

Verdeel die probleem in onderhandeling, verifikasie, kindbeskerming en binneste deurstuur, en versamel dan bewyse vir een fase op ’n slag. ’n Herbegin wat die uitslag tydelik verander, bewys net dat een of ander toestand betrokke was.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Die opname wys of die uitruiling die eweknie bereik en of antwoorde terugkom, wat ’n filterprobleem van ’n aanmeldingsprobleem skei. Die toestandlys wys gevestigde sekuriteitsassosiasies, so ’n leë lys ná ’n poging dui op onderhandeling eerder as op roetering. Die beleidslys wys watter kiesers geïnstalleer is, en dit is waar ’n bestemming buite die subnet uitgesluit word. Lees albei xfrm-uitvoere voordat jy aan die roeteerder raak, want hulle beskryf wat die gasheer glo eerder as wat die roeteerder toelaat.

As pakkette vertrek en niks terugkom nie, skuif die opname na die roeteerder se WAN-kant. Deur die twee opnames te vergelyk, word die plek van die verwerping gelokaliseer sonder om te raai.

Skakel af wat jy nie nodig het nie

Een werkende skootrekenaar bewys nie dat die roeteerder verskeie kliënte gelyktydig hanteer nie. Elke kliënt skep sy eie omsettingstoestand en sy eie onderhandeling, en sommige helpers volg net een vloei. Toets die aantal gelyktydige sessies wat jy werklik nodig het, uit die netwerke wat jy werklik gebruik. As die tweede kliënt misluk terwyl die eerste floreer, is dit die bevinding eerder as ’n wankelrige tonnel.

Hou die opsie net aan wanneer ’n opname wys dit is nodig. Teken die firmware-weergawe langs die resultaat aan, want hierdie gedrag verander tussen uitgawes. Die doel is ’n kliënttonnel wat jy geverifieer het, nie ’n skakelaar wat jy hoopvol aangeskakel het nie.