تمرير IPsec عبر الراوتر المنزلي: ما الذي يفعله فعلاً

مفاتيح تمرير الراوتر هي تنازلات تمرير لجهاز يقف خلفها، وليست خدمات VPN. فهي لا تسجّل الراوتر كعميل، ولا تحتفظ ببيانات الاعتماد، ولا تدفع كل جهاز في المنزل عبر مخرج بعيد. الذي تفعله هو أنها تشكّل طريقة عبور بروتوكول واحد لترجمة العناوين والمرشّحات. وما إن يتضح ذلك، يصبح المفتاح سهل الاختبار وسهل الإبقاء عليه مغلقاً.

ما الذي يفعله الراوتر فعلياً

يقف الراوتر بين عميل ونظير IPsec، فيمرّر حزماً لم يُصمَّم قط لفهمها. تنفّذ الشركات المصنّعة الميزة بثلاث طرق على الأقل: مساعد بروتوكول يتتبّع الحالة أو يعيد كتابتها، أو استثناء مرشّح يوقف إسقاط ESP، أو وضع توافق موجّه للعملاء الأقدم. نادراً ما تبيّن التسمية في واجهة الويب أيّ هذه الثلاث لديك. فقط ملاحظات البرنامج الثابت أو التقاط الحزم سيقولان ذلك.

قد يجعل المساعد الأمور أسوأ أيضاً. فالمساعدة المكتوبة لتدفّق أقدم تتعارض أحياناً مع عميل يتعامل مع الترجمة بصورة صحيحة. وحين يعمل عميل حديث والميزة مغلقة، فإبقاؤها مغلقة هو الإعداد الأفضل.

لا يمنح التمرير الراوتر مفاتيح النظراء أبداً. فهو ما زال يرى العناوين والمنافذ الخارجية، وما زال يطبّق سياسة تمريره الخاصة عليها.

NAT وNAT-T يحدّدان المسار

لم يُبنَ IPsec ليتحمّل ترجمة العناوين، لذا أضافت المعايير غلافاً. تغلّف خاصية عبور NAT بروتوكول ESP داخل UDP، فتتيح لجدول NAT عادي حمل التدفّق، ويتفق التفاوض على هذا التحويل أثناء IKE (RFC 3948). ويستخدم IKE نفسه المنفذ UDP 500، بينما يستخدم المسار المغلّف عادةً المنفذ UDP 4500.

لهذا لا تكفي قاعدة جدار ناري تسمح بالبروتوكول 50 فقط على مسار مترجَم. فحجب 4500 يكسر الحالة التي وُجد الغلاف من أجلها، وحجب 500 يوقف التفاوض قبل تشكّل أي نفق. كلا الاتجاهين مهم، لأن الراوتر المتتبّع للحالة لا يسمح بالرد عادةً إلا بعد أن رأى الطلب. والوصول إلى منفذ ليس كإكمال المصادقة، ولا هو كتمرير حركة محمية.

تختلف الترتيبات الأقدم بما يكفي لأن يضلّل دليل كُتب من أجلها. وحين يعرض العميل الوضعين، اختبر الوضع الذي يوثّقه نظيرك بدلاً من الوضع الأكثر في نتائج البحث.

حدّد المرحلة الفاشلة

قسّم المشكلة إلى تفاوض ومصادقة وحماية فرعية وتمرير داخلي، ثم اجمع الأدلة لمرحلة واحدة في كل مرة. إعادة التشغيل التي تغيّر النتيجة مؤقتاً لا تثبت إلا أن حالة ما كانت معنية.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

يُظهر الالتقاط ما إذا كان التبادل يصل إلى النظير وما إذا كانت الردود تعود، وهو ما يفصل مشكلة ترشيح عن مشكلة بيانات اعتماد. وتُظهر قائمة الحالة ارتباطات الأمان القائمة، لذا تشير قائمة فارغة بعد محاولة إلى التفاوض لا إلى التوجيه. وتُظهر قائمة السياسة أي المحدّدات مثبّتة، وهو الموضع الذي تُستبعد فيه وجهة خارج الشبكة الفرعية. اقرأ مخرجات xfrm الاثنين قبل لمس الراوتر، لأنها تصف ما يعتقده المضيف لا ما يسمح به الراوتر.

إذا غادرت الحزم ولم يعد شيء، فانقل الالتقاط إلى جهة WAN في الراوتر. ومقارنة الالتقاطين تحدّدان موضع الإسقاط دون تخمين.

أطفئ ما لا تحتاج إليه

حاسوب محمول واحد يعمل لا يثبت أن الراوتر يتعامل مع عدة عملاء في آن واحد. فكل عميل ينشئ حالة ترجمة خاصة به وتفاوضاً خاصاً به، وبعض المساعدات تتبّع تدفّقاً واحداً فقط. اختبر عدد الجلسات المتزامنة التي تحتاجها فعلاً، من الشبكات التي تستخدمها فعلاً. وإذا فشل العميل الثاني بينما ينجح الأول، فتلك هي النتيجة وليست نفقاً متقلّباً.

أبقِ الميزة مفتوحة فقط عندما يُظهر الالتقاط أنها لازمة. وسجّل إصدار البرنامج الثابت بجانب النتيجة، لأن هذه السلوكيات تتغيّر بين الإصدارات. الهدف نفق عميل تحققت منه، لا مفتاح شغّلته على أمل.