Пропускането на IPsec през домашен рутер: какво всъщност прави

Ключовете за пропускане на рутера са отстъпки за препращане за устройство зад тях, а не VPN услуги. Те не регистрират рутера като клиент, не пазят идентификационни данни и не прокарват всяко устройство в дома през отдалечен изход. Това, което правят, е да оформят как един протокол преминава през транслацията на адреси и филтрите. Щом това е ясно, ключът става лесен за тестване и лесен за оставяне изключен.

Какво всъщност прави рутерът

Рутерът стои между клиент и партньор по IPsec и препраща пакети, които никога не е бил проектиран да разбира. Производителите реализират функцията поне по три начина: помощник на протокола, който следи или пренаписва състоянието; изключение във филтъра, което спира отхвърлянето на ESP; или режим на съвместимост за по-стари клиенти. Етикетът в уеб интерфейса рядко казва кой от трите имате. Само бележките към фърмуера или прихващане на пакети ще покажат.

Помощникът може и да влоши нещата. Помощ, написана за по-стар поток, понякога пречи на клиент, който вече обработва транслацията правилно. Когато модерен клиент работи с изключена опция, оставянето й изключена е по-добрата конфигурация.

Пропускането никога не дава на рутера ключовете на партньорите. Той все още вижда външните адреси и портове и все още прилага собствената си политика за препращане към тях.

NAT и NAT-T решават пътя

IPsec не е създаден да оцелява след транслация на адреси, затова стандартите добавиха обвивка. NAT traversal инкапсулира ESP в UDP, позволявайки на обикновена NAT таблица да носи потока, и преговорите се договарят за това превключване по време на IKE (RFC 3948). Самият IKE използва UDP 500, докато инкапсулираният път обикновено използва UDP 4500.

Затова правило във защитната стена, което разрешава само протокол 50, не е достатъчно по транслиран път. Блокирането на 4500 чупи случая, за който обвивката съществува, а блокирането на 500 спира преговорите, преди да се образува какъвто и да е тунел. И двете посоки са важни, защото рутер със следене на състоянието обикновено разрешава отговора само след като е видял заявката. Достигането на порт не е същото като завършване на удостоверяването, нито като препращане на защитен трафик.

По-старите схеми се различават достатъчно, че наръчник, писан за тях, да подведе. Когато клиент предлага и двата режима, тествайте този, който вашият партньор документира, а не този с повече резултати от търсене.

Открийте неуспешния етап

Разделете проблема на преговори, удостоверяване, защита на дъщерната връзка и вътрешно препращане, после събирайте доказателства за един етап наведнъж. Рестарт, който временно променя резултата, доказва само че е участвало някакво състояние.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Прихващането показва дали обменът достига партньора и дали отговорите се връщат, което отделя проблем с филтрирането от проблем с идентификационните данни. Списъкът на състоянието показва установените асоциации за сигурност, така че празен списък след опит сочи към преговори, а не към маршрутизация. Списъкът на политиките показва кои селектори са инсталирани и точно там дестинация извън подмрежата се изключва. Прочетете и двата изхода на xfrm, преди да пипате рутера, защото те описват какво смята хостът, а не какво разрешава рутерът.

Ако пакетите излизат и нищо не се връща, преместете прихващането от страната на WAN на рутера. Сравняването на двете прихващания локализира отказа без догадки.

Изключете ненужното

Един работещ лаптоп не доказва, че рутерът обслужва няколко клиента едновременно. Всеки клиент създава собствено състояние на транслация и собствени преговори, а някои помощници следят само един поток. Тествайте броя едновременни сесии, който наистина ви трябва, от мрежите, които наистина използвате. Ако вторият клиент се проваля, докато първият работи, това е находката, а не нестабилен тунел.

Оставяйте опцията включена само когато прихващане показва, че е нужна. Записвайте версията на фърмуера до резултата, защото тези поведения се менят между изданията. Целта е клиентски тунел, който сте проверили, а не ключ, включен с надежда.