IPsec prosljeđivanje na kućnom ruteru: šta zapravo radi

Prekidači prosljeđivanja na ruteru su ustupci za prosljeđivanje za uređaj iza njih, a ne VPN usluge. Ne upisuju ruter kao klijenta, ne drže akreditive i ne tjeraju svaki uređaj u kući kroz udaljeni izlaz. Ono što rade jeste da oblikuju kako jedan protokol prelazi prevođenje adresa i filtere. Kad je to jasno, prekidač je lako testirati i lako ostaviti isključenim.

Šta ruter zapravo radi

Ruter stoji između klijenta i IPsec partnera i prosljeđuje pakete koje nikada nije bio dizajniran da razumije. Proizvođači tu funkciju ostvaruju na najmanje tri načina: pomoćnik protokola koji prati ili prepisuje stanje, izuzetak u filteru koji zaustavlja odbacivanje ESP-a, ili režim kompatibilnosti namijenjen starijim klijentima. Oznaka u web sučelju rijetko kaže koji od ta tri imate. Samo bilješke firmvera ili snimka paketa će vam to reći.

Pomoćnik može i pogoršati stvari. Podrška napisana za stariji tok ponekad smeta klijentu koji već ispravno obrađuje prevođenje. Kad moderni klijent radi s isključenom opcijom, ostaviti je isključenu bolja je konfiguracija.

Prosljeđivanje nikada ne daje ruteru ključeve partnera. On i dalje vidi vanjske adrese i portove i i dalje primjenjuje svoju politiku prosljeđivanja na njih.

NAT i NAT-T određuju put

IPsec nije napravljen da preživi prevođenje adresa, pa su standardi dodali omotač. NAT traversal inkapsulira ESP unutar UDP-a, dopuštajući običnoj NAT tablici da nosi tok, a pregovori se dogovaraju o tom prebacivanju tokom IKE-a (RFC 3948). Sam IKE koristi UDP 500, dok inkapsulirani put obično koristi UDP 4500.

Zato pravilo firewall-a koje dopušta samo protokol 50 nije dovoljno na prevedenom putu. Blokiranje 4500 kvari slučaj zbog kojeg omotač postoji, a blokiranje 500 zaustavlja pregovore prije nego što se ikakav tunel formira. Oba smjera su važna, jer ruter koji prati stanje obično dopušta odgovor tek nakon što je vidio zahtjev. Doći do porta nije isto kao završiti autentifikaciju, a ni kao proslijediti zaštićeni saobraćaj.

Stariji aranžmani se dovoljno razlikuju da vodič napisan za njih može zavarati. Kad klijent nudi oba režima, testirajte onaj koji vaš partner dokumentuje, a ne onaj s više rezultata pretrage.

Pronađite fazu koja pada

Podijelite problem na pregovore, autentifikaciju, zaštitu djeteta i unutrašnje prosljeđivanje, pa prikupljajte dokaze za jednu fazu odjednom. Ponovno pokretanje koje privremeno promijeni rezultat dokazuje samo da je neko stanje bilo uključeno.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Snimka pokazuje da li razmjena stiže do partnera i da li se odgovori vraćaju, što odvaja problem filtriranja od problema s akreditivima. Popis stanja pokazuje uspostavljene sigurnosne asocijacije, pa prazan popis nakon pokušaja upućuje na pregovore, a ne na rutiranje. Popis politika pokazuje koji su selektori instalirani, i tu se odredište izvan podmreže isključuje. Pročitajte oba xfrm izlaza prije nego što dirate ruter, jer oni opisuju šta host misli, a ne šta ruter dopušta.

Ako paketi izlaze i ništa se ne vraća, premjestite snimku na WAN stranu rutera. Poređenje dviju snimki lokalizuje ispuštanje bez nagađanja.

Isključite ono što vam ne treba

Jedan radni laptop ne dokazuje da ruter opslužuje nekoliko klijenata odjednom. Svaki klijent stvara sopstveno stanje prevođenja i sopstvene pregovore, a neki pomoćnici prate samo jedan tok. Testirajte broj istovremenih sesija koji vam zaista treba, s mreža koje zaista koristite. Ako drugi klijent padne dok prvi radi, to je nalaz, a ne nestabilan tunel.

Ostavite opciju uključenom samo kad snimka pokaže da je potrebna. Zabilježite verziju firmvera uz rezultat, jer se ova ponašanja mijenjaju između izdanja. Cilj je klijentski tunel koji ste provjerili, a ne prekidač koji ste uključili s nadom.