IPsec ESP: beth mae’n ei gludo a sut i brofi ei fod yn llifo

Mae ESP yn cludo’r traffig mewn VPN IPsec, ac mae ei runbook yn dechrau ag un rheol: darllenwch y cysylltiad diogelwch cyn newid polisi. Mae’r rhan fwyaf o ymddygiad ESP heb esboniad yn olrhain yn ôl i ddewisydd na chyfatebodd, modd a dybiwyd yn hytrach na’i ddarllen, neu gyfrifydd na wiriwyd gan neb wrth anfon un llif. Mae’r tri cham isod yn sefydlu beth sy’n cludo beth, yn profi bod un llif yn ei ddefnyddio, ac yn gadael adferiad nad yw’n dibynnu ar gof. Mae pob cam yn cynhyrchu un sylw sy’n werth ei nodi.

Gwybyddwch y meysydd cyn eu darllen

Mae ESP yn rhoi pennawd o flaen y data a warchodir a threlar ar ei ôl. Mae’r pennawd yn cario mynegai paramedr diogelwch sy’n nodi pa gysylltiad y dylai’r derbynnydd ei ddefnyddio, rhif dilyniant ar gyfer canfod ailchwarae, a phadio yn y trelar sy’n cadw’r llwyth defnyddiol yn unol â’r seiffr. Mae maes y pennawd nesaf yn y trelar yn dweud beth yw’r cynnwys a warchodir, a dyna sut mae’r derbynnydd yn gwybod beth mae wedi’i ddatgapsiwleiddio.

Mae’r modd yn newid beth sydd y tu mewn i’r warchodaeth honno. Yn y modd twnnel, y deunydd a warchodir yw pecyn IP mewnol cyflawn, ac mae pennawd allanol newydd yn ei gludo rhwng y pwyntiau terfyn. Yn y modd cludo, mae’r warchodaeth yn lapio llwyth defnyddiol y haen uchaf o becyn sy’n bodoli eisoes, felly nid oes ail bennawd IP i’w ddatlapio. Mae pa fodd sy’n cael ei ddefnyddio yn ffaith cyfluniad, nid yn fater o ddehongliad. Darllenwch ef o’r cofnod cyflwr yn hytrach na’i gasglu o ddiagram.

Nid yw’r naill fodd na’r llall yn cuddio’r cyfeiriadu allanol sy’n rhaid i’r pecyn gael ei gyflwyno iddo. Mae hynny’n briodwedd o’r dyluniad yn hytrach nag yn ddiffyg, a dyna pam y gall sylwedydd canolraddol weld o hyd pa ddau gyfeiriad sy’n siarad hyd yn oed pan fo’r llwyth defnyddiol yn afloyw.

Cam un: darllenwch y cyflwr, yna’r polisi

Mae cofnodion cyflwr yn dal yr allweddi a’r cyfrifwyr; mae cofnodion polisi yn dal y dewiswyr sy’n penderfynu beth gaiff eu defnyddio. Ar Linux mae’r ddau i’w gweld heb ddal pecynnau, ac mae eu darllen yn y drefn honno’n cadw’r ddau gwestiwn ar wahân.

ip xfrm state
ip xfrm policy

Yn allbwn y cyflwr, gwiriwch ffynhonnell a chyrchfan y cysylltiad, y modd, ac a yw’r capsiwl yn dangos pyrth UDP. Mae’r pyrth hynny’n golygu bod tramwyad NAT yn cael ei ddefnyddio, sy’n newid beth y mae’n rhaid i wal dân canolraddol ei ganiatáu, ond nid pa ddewiswyr neu allweddi sy’n gymwys ym mhob pen.

Yna darllenwch y dewiswyr yn y polisi. Dewisydd sy’n enwi rhagddodiad culach na’r traffig rydych chi’n ei brofi yw’r rheswm mwyaf cyffredin pam mae twnnel sy’n gweithio’n ymddangos fel petai’n anwybyddu llif, ac mae dewisydd ar gyfer y protocol anghywir yn rhoi’r un distawrwydd.

Mae offer gwerthwyr yn argraffu’r un wybodaeth mewn siâp haws. ipsec statusall ar strongSwan mae’n rhestru’r cysylltiadau plentyn, eu dewiswyr a’u cyfrifwyr beit, sy’n aml yn gyflymach na darllen allbwn xfrm crai pan wyddoch eisoes pa blentyn i edrych arno.

Cam dau: profwch fod un llif yn symud y cyfrifwyr

Nid yw cyfrifwyr yn golygu dim oni bai eich bod yn gwybod beth ddylai fod wedi’u symud, felly dewiswch ffynhonnell a chyrchfan y mae’r dewisydd yn eu cynnwys yn sicr ac anfonwch un cais diniwed. Yna darllenwch yr un cofnod eto a chymharu.

ip -s xfrm state
tcpdump -ni any esp

Mae dau ddarlleniad yn adrodd straeon gwahanol. Mae pecynnau sy’n cynyddu ar yr ochr allan ond byth ar yr ochr i mewn yn awgrymu problem â’r blaenyrru neu’r llwybr dychwelyd yn hytrach na phroblem â’r allwedd, oherwydd cafodd y pecyn ei gapsiwleiddio a’i adael. Os nad yw unrhyw gyfrifydd yn symud, ni chyfatebodd y traffig â’r polisi o gwbl, a’r dewisydd yw’r lle i edrych.

Mae’r dal yn yr un cam yn cadarnhau’r capsiwl ar y wifren, gan gynnwys a yw’r pecynnau allanol yn ESP neu’n ESP wedi’i gapsiwleiddio mewn UDP. Mae hefyd yn dangos y cyfeiriadau a gludodd y llif mewn gwirionedd, ac maent weithiau’n wahanol i’r rhai yn y cyfluniad roeddech chi’n ei ddarllen.

Cam tri: newidiwch un peth a chadwch adferiad

Cofnodwch ffynhonnell, cyrchfan, modd, dewiswyr a chyfrifwyr y cysylltiad cyn golygu unrhyw beth. Os bydd newid yn gwaethygu pethau, y cofnod hwnnw sy’n gadael i chi adfer y cyflwr blaenorol yn hytrach nag ailadeiladu cyfluniad gweithiol o ddyfaliad. Mae’r cofnod yn cymryd munud i’w ysgrifennu ac yn arbed awr yn ddiweddarach. Ef hefyd yw’r unig arteffact sy’n goroesi’r person a wnaeth y newid.

Newidiwch un dewisydd neu un paramedr, ail-lwythwch ef, ac ailadroddwch gam dau yn erbyn yr un llif. Mae dileu cysylltiad yn chwalu pob llif sy’n ei ddefnyddio, felly mae golygiad wedi’i dargedu ac ail-lwytho’r plentyn bron bob amser yn well na fflysio’r cyflwr i weld beth sy’n digwydd.

Adferiad ar gyfer golygiad dewisydd yw adfer y polisi blaenorol a’i ail-lwytho, gyda’r amod y gall y cymar fod angen newid cyfatebol os yw’r dewisydd yn cael ei drafod yn hytrach nag yn lleol. Nodwch y ddibyniaeth honno tra mae’n ffres, oherwydd mae pâr wedi’i adfer yn hanner yn anoddach i resymu amdano na’r naill gyflwr terfynol na’r llall.

Yn olaf, cadwch y cwmpas yn onest. Mae cysylltiad ESP sy’n llifo yn profi bod y ddau borth yn gwarchod ac yn cyflwyno’r segment, ac nid yw’n dweud dim am a yw’r rhaglen uwchben yn dilysu ei defnyddwyr neu’n amgryptio’r hyn y mae’n ei storio. Mae’r rheini’n rheolyddion ar wahân gyda thystiolaeth ar wahân, ac nid yw’r runbook yn gorffen nes y gall y person nesaf ei ailadrodd o’r nodiadau.