Ev routerində IPsec keçidi: əslində nə edir

Router keçid açarları arxalarındakı cihaz üçün keçid güzəştidir, VPN xidməti deyil. Onlar routeri müştəri kimi qeydiyyata almır, etimad məlumatlarını saxlamır və evdəki hər cihazı uzaq çıxışdan keçirmir. Etdikləri şey bir protokolun ünvan çevrilməsini və filtrləri necə keçdiyini formalaşdırmaqdır. Bu aydınlaşdıqdan sonra açarı sınamaq da, söndürmək də asan olur.

Router əslində nə edir

Router müştəri ilə IPsec həmsöhbəti arasında dayanır və başa düşmək üçün dizayn edilmədiyi paketləri ötürür. İstehsalçılar funksiyanı ən azı üç yolla həyata keçirir: vəziyyəti izləyən və ya yenidən yazan protokol köməkçisi, ESP-nin atılmasını dayandıran filtr istisnası, ya da köhnə müştərilərə yönəlmiş uyğunluq rejimi. Veb interfeysdəki etiket bunlardan hansının sizdə olduğunu nadir hallarda deyir. Bunu yalnız proqram təminatı qeydləri və ya paket tutumu göstərəcək.

Köməkçi işləri daha da pisləşdirə bilər. Köhnə axın üçün yazılmış kömək bəzən çevrilməni artıq düzgün idarə edən müştəriyə mane olur. Müasir müştəri seçim söndürülmüş halda işləyirsə, onu söndürmək daha yaxşı konfiqurasiyadır.

Keçid heç vaxt həmsöhbətlərin açarlarını routerə vermir. O, yenə də xarici ünvanları və portları görür və öz ötürmə siyasətini onlara tətbiq edir.

NAT və NAT-T yolu müəyyən edir

IPsec ünvan çevrilməsindən sağ çıxmaq üçün qurulmamışdı, buna görə standartlar bir sarğı əlavə etdi. NAT keçidi ESP-ni UDP içində sarır, beləliklə adi NAT cədvəli axını daşıyır və danışıq IKE zamanı bu keçid üzərində razılaşır (RFC 3948). IKE özü UDP 500 istifadə edir, sarılmış yol isə adətən UDP 4500 istifadə edir.

Buna görə yalnız 50 protokoluna icazə verən firewall qaydası çevrilmiş yolda kifayət etmir. 4500-ü bloklamaq sarğının mövcud olduğu halı pozur, 500-ü bloklamaq isə hər hansı tunel yaranmadan danışığı dayandırır. Hər iki istiqamət vacibdir, çünki vəziyyət izləyən router cavaba adətən yalnız sorğunu gördükdən sonra icazə verir. Porta çatmaq yetkiləndirməni bitirməklə eyni deyil, qorunan trafiki ötürməklə də eyni deyil.

Köhnə quruluşlar kifayət qədər fərqlidir ki, onlar üçün yazılmış bələdçi yanıltıcı ola bilər. Müştəri hər iki rejimi təklif edirsə, daha çox axtarış nəticəsi olanı deyil, həmsöhbətinizin sənədləşdirdiyini sınayın.

Uğursuz mərhələni tapın

Problemi danışıq, yetkiləndirmə, uşaq qorunması və daxili ötürməyə bölün, sonra hər dəfə bir mərhələ üçün sübut toplayın. Nəticəni müvəqqəti dəyişən yenidən başlatma yalnız müəyyən vəziyyətin iştirak etdiyini sübut edir.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Tutum mübadilənin həmsöhbətə çatıb-çatmadığını və cavabların qayıdıb-qayıtmadığını göstərir; bu da filtr problemini etimad problemi ilə ayırır. Vəziyyət siyahısı qurulmuş təhlükəsizlik assosiasiyalarını göstərir, ona görə cəhddən sonra boş siyahı marşrutlaşdırmaya deyil, danışığa işarə edir. Siyasət siyahısı hansı selektorların quraşdırıldığını göstərir və alt şəbəkədən kənar təyinat məhz orada çıxarılır. Routerə toxunmazdan əvvəl hər iki xfrm çıxışını oxuyun, çünki onlar routerin nəyə icazə verdiyini deyil, hostun nə sandığını təsvir edir.

Paketlər çıxır və heç nə qayıtmırsa, tutumu routerin WAN tərəfinə köçürün. İki tutumun müqayisəsi itkini təxmin etmədən yerini müəyyən edir.

Ehtiyacınız olmayanı söndürün

Bir işləyən noutbuk routerin eyni vaxtda bir neçə müştəri ilə işlədiyini sübut etmir. Hər müştəri öz çevrilmə vəziyyətini və öz danışığını yaradır, bəzi köməkçilər isə yalnız bir axını izləyir. Həqiqətən istifadə etdiyiniz şəbəkələrdən həqiqətən ehtiyacınız olan eyni vaxtlı sessiyaların sayını sınayın. İkinci müştəri birincisi işlədiyi halda uğursuz olursa, bu tapıntıdır, qeyri-sabit tunel deyil.

Seçimi yalnız tutum lazım olduğunu göstərəndə açıq saxlayın. Nəticənin yanında proqram təminatının versiyasını qeyd edin, çünki bu davranışlar buraxılışlar arasında dəyişir. Məqsəd yoxlanılmış müştəri tunelidir, ümidlə yandırılmış açar deyil.