Прапуск IPsec на хатнім роўтары: што ён насамрэч робіць

Перамыкачы прапуску на роўтары — гэта саступкі перасылання для прылады за імі, а не VPN-сэрвісы. Яны не рэгіструюць роўтар як кліента, не захоўваюць уліковыя даныя і не прапіхваюць кожную прыладу ў доме праз аддалены выхад. Яны робяць тое, што фарміруюць, як адзін пратакол перасякае трансляцыю адрасоў і фільтры. Калі гэта ясна, перамыкач лёгка праверыць і лёгка пакінуць выключаным.

Што роўтар насамрэч робіць

Роўтар стаіць паміж кліентам і партнёрам IPsec і перасылае пакеты, якія ён ніколі не быў разлічаны разумець. Вытворцы рэалізуюць функцыю як мінімум трыма спосабамі: памочнік пратакола, які адсочвае або перапісвае стан; выключэнне фільтра, якое спыняе адкідванне ESP; або рэжым сумяшчальнасці для старэйшых кліентаў. Надпіс у вэб-інтэрфейсе рэдка кажа, які з трох у вас. Толькі заўвагі да прашыўкі або захоп пакетаў скажуць гэта.

Памочнік можа таксама зрабіць горш. Дапамога, напісаная для старэйшага патоку, часам перашкаджае кліенту, які ўжо правільна апрацоўвае трансляцыю. Калі сучасны кліент працуе з выключанай опцыяй, пакінуць яе выключанай — лепшая канфігурацыя.

Прапуск ніколі не аддае роўтару ключы партнёраў. Ён па-ранейшаму бачыць знешнія адрасы і порты і па-ранейшаму ўжывае сваю палітыку перасылання да іх.

NAT і NAT-T вызначаюць шлях

IPsec не ствараўся, каб перажыць трансляцыю адрасоў, таму стандарты дадалі абгортку. NAT traversal інкапсулюе ESP унутры UDP, даючы звычайнай табліцы NAT несці паток, і перамовы дамаўляюцца пра гэтае пераключэнне падчас IKE (RFC 3948). Сам IKE выкарыстоўвае UDP 500, а інкапсуляваны шлях звычайна выкарыстоўвае UDP 4500.

Вось чаму правіла фаервала, якое дазваляе толькі пратакол 50, недастаткова на транслираным шляху. Блакаванне 4500 ламае выпадак, дзеля якога існуе абгортка, а блакаванне 500 спыняе перамовы да таго, як утворыцца які-небудзь тунель. Абодва кірункі важныя, бо роўтар з адсочваннем стану звычайна дазваляе адказ толькі пасля таго, як убачыў запыт. Дасягнуць порта — не тое ж, што завяршыць аўтэнтыфікацыю, і не тое ж, што перасылаць абаронены трафік.

Старэйшыя схемы настолькі адрозніваюцца, што напісаны для іх дапаможнік можа ўвесці ў зман. Калі кліент прапануе абодва рэжымы, праверце той, які дакументуе ваш партнёр, а не той, у якога больш вынікаў пошуку.

Знайдзіце збойную стадыю

Падзяліце праблему на перамовы, аўтэнтыфікацыю, абарону дзіцячага злучэння і ўнутраную перасылку, затым збірайце доказы для адной стадыі за раз. Перазапуск, які часова змяняе вынік, даказвае толькі тое, што ўдзельнічаў нейкі стан.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Захоп паказвае, ці дасягае абмен партнёра і ці вяртаюцца адказы, што аддзяляе праблему фільтрацыі ад праблемы ўліковых даных. Спіс стану паказвае ўстаноўленыя асацыяцыі бяспекі, таму пусты спіс пасля спробы паказвае на перамовы, а не на маршрутызацыю. Спіс палітык паказвае, якія селектары ўстаноўлены, і менавіта там выключаецца прызначэнне па-за падсеткай. Прачытайце абодва вывады xfrm, перш чым чапаць роўтар, бо яны апісваюць тое, што думае хост, а не тое, што дазваляе роўтар.

Калі пакеты сыходзяць і нічога не вяртаецца, перанясіце захоп на бок WAN роўтара. Параўнанне двух захапаў лакалізуе скід без здагадак.

Адключыце тое, што вам не трэба

Адзін працуючы ноўтбук не даказвае, што роўтар абслугоўвае некалькі кліентаў адначасова. Кожны кліент стварае свой стан трансляцыі і свае перамовы, а некаторыя памочнікі адсочваюць толькі адзін паток. Праверце колькасць адначасовых сесій, якая вам сапраўды патрэбна, з сетак, якія вы сапраўды выкарыстоўваеце. Калі другі кліент падае, пакуль першы працуе, гэта і ёсць знаходка, а не няўстойлівы тунель.

Трымайце опцыю ўключанай, толькі калі захоп паказвае, што яна патрэбна. Запішыце версію прашыўкі побач з вынікам, бо гэтыя паводзіны змяняюцца паміж выпускамі. Мэта — кліенцкі тунель, які вы праверылі, а не перамыкач, уключаны з надзеяй.