IPsec o fewn IPsec: pa gyfeiriadau y mae'n rhaid i'r twnnel allanol eu cario

Mae IPsec nythedig yn haws ei resymu pan fydd y ddwy haen yn gorffen ar wahanol beiriannau. Pedwar porth, dau dwnnel, ac un cwestiwn sy'n penderfynu a yw'r dyluniad yn gweithio: beth mae'r twnnel allanol yn ei weld mewn gwirionedd pan fydd yr un mewnol wedi gorffen â'r pecyn? Atebwch hwnnw a bydd y detholwyr, y llwybrau a'r drefn datrys problemau yn dilyn. Camgymerwch a byddwch yn treulio diwrnod yn dadfygio twnnel sydd i bob pwrpas i fyny.

Y model pedwar porth

Mae pyrth allanol A a B yn adeiladu'r twnnel cyntaf rhwng y ddau safle. Y tu ôl i A mae porth mewnol C gyda chyfeiriad tramwy 10.60.0.2; y tu ôl i B mae porth mewnol D gyda chyfeiriad tramwy 10.70.0.2. Mae'r rhwydweithiau cymhwysiad yn byw y tu ôl i C a D, ac mae pob cyfeiriad yn yr enghraifft yn fwriadol heb orgyffwrdd.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

Mae rhannu'r haenau ar draws pedwar gwesteiwr yn golygu bod pob peiriant yn gorfodi un ffin. Mae un gwesteiwr sy'n rhedeg y ddwy haen yn gorfod cysoni dwy set o bolisïau, dwy dabl llwybro a dau fodd methu ar un peiriant, sy'n bosibl ac yn llawer anoddach ei arsylwi.

Mae pob haen yn tynnu dim ond ei diogelwch ei hun

Mae C yn amgryptio pecyn cymhwysiad ar gyfer D. Mae'r canlyniad yn cael ei gyfeirio o C i D, a dyna sy'n cyrraedd A. Mae popeth i lawr yr afon yn dibynnu ar yr ailysgrifennu hwnnw.

Mae A yn ei amgryptio eto ar gyfer B. Mae B yn dadgryptio'r haen allanol, yn gweld pecyn o C i D, ac yn ei anfon ymlaen yn dal wedi'i amgryptio. Mae D yn tynnu'r diogelwch mewnol ac yn dosbarthu'r pecyn cymhwysiad.

Felly mae A a B yn gweld y penau mewnol a'u metadata, ond nid hwy yw'r partïon sy'n dadgryptio llwyth tâl y cymhwysiad. Mae hynny'n briodwedd wirioneddol o'r dyluniad, nid yn honiad bod C, D na gwesteiwyr y cymhwysiad yn ddibynadwy.

Mae'r detholwyr allanol yn enwi'r pyrth mewnol

Dyma lle mae'r rhan fwyaf o'r adeiladau hyn yn methu. Ar gyfer twnnel allanol sy'n seiliedig ar bolisi, rhaid i'r detholwyr a drafodwch gynnwys y cyfeiriadau y mae A a B yn eu trin mewn gwirionedd: 10.60.0.2/32 a 10.70.0.2/32, yn y drefn leol ac anghysbell gywir.

Nid yw rhoi'r is-rwydweithiau cymhwysiad terfynol yn y detholwyr allanol yn gweithio, oherwydd erbyn i becyn gyrraedd A mae'r capsiwlio mewnol eisoes wedi ailysgrifennu'r hyn y mae'n rhaid i A ei amddiffyn. Byddai'r polisi allanol wedyn yn cyfateb i ddim, a byddai'r twnnel yn codi heb gario unrhyw ddata.

Peidiwch â chulhau'r caniatâd allanol i UDP 500 chwaith. Mae gan y cysylltiad mewnol ei lwybr data ei hun, sy'n defnyddio ESP neu gapsiwlio UDP yn dibynnu ar yr hyn a drafododd, a rhaid i'r polisi allanol ganiatáu'r protocol hwnnw.

Gwiriwch y canlyniad gyda swanctl --list-sas ar bob porth a chadarnhewch fod y cymdeithasau diogelwch plentyn yn adrodd y cyfeiriadau y bwriadwyd, nid y rhai a dybiwyd. Os yw'r rhestr yn dangos is-rwydweithiau'r cymhwysiad, ysgrifennwyd y polisi allanol ar gyfer y haen anghywir. Trwsiwch y detholwyr cyn dadfygio llwybro, oherwydd bydd llwybro yn edrych yn iawn ac ni fydd y cownteri yn symud.

Anfon a magl yr ailadrodd

Nid yw detholwyr yn disodli llwybro. Rhaid i A a B anfon traffig rhwng C a D yn y ddwy gyfeiriad, sy'n golygu anfon IP wedi'i alluogi, llwybrau sy'n pwyntio at y twnnel, a llwybr dychwelyd sy'n bodoli ar yr ochr arall.

Os yw'r twnnel allanol yn defnyddio rhyngwynebau XFRM, mae llwybrau yn dewis y rhyngwyneb tra bod y polisïau a drafodwyd yn dal i gyfyngu ar yr hyn y mae'n ei gario. Nid yw rhyngwyneb yn ehangu'r hyn sy'n cael ei amddiffyn; dim ond newid sut mae'r cnewyllyn yn codi'r pecyn.

Y fagl yw ailadrodd. Rhaid i lwybr A i ben allanol B ddilyn yr isradd, nid y twnnel y mae A yn ei sefydlu, neu mae'r capsiwlio yn ceisio teithio o'i fewn ei hun ac ni fydd y cysylltiad byth yn gorffen.

Archwiliwch gyfieithu cyn ychwanegu haenau

Edrychwch ar unrhyw NAT ffynhonnell ar A a B cyn i chi diwnio unrhyw beth arall. Gall rheol sy'n ailysgrifennu cyfeiriad C cyn i'r polisi IPsec fod yn berthnasol dorri'r detholwyr y cytunwyd arnynt, a gall hefyd newid yr hyn y mae D yn ei dderbyn ar yr ochr arall.

Nid yw cymhwyso mwgwd eang yn dod yn fwy diogel oherwydd bod dwy haen. Mae'n cuddio pa gyfeiriad y mae'r pen pell yn ei weld, sef yn union y wybodaeth sydd ei hangen arnoch pan fydd y twnnel i fyny a'r cymhwysiad ddim.

Os oes gwir angen rheol NAT, nodwch pa gyfeiriad y mae pob ochr yn credu ei fod yn siarad ag ef. Mae'r un llinell honno'n datrys y rhan fwyaf o'r dadleuon ynghylch ai'r twnnel neu'r cyfieithiad sydd ar fai. Mae hefyd yn dweud wrth y peiriannydd nesaf ble i edrych pan fydd y rheol yn cael ei thynnu flwyddyn yn ddiweddarach. Ni fydd ping yn gwneud unrhyw ran o hynny.

Profwch fail-closed a gwiriwch yr MTU

Nid yw llwybr yn diflannu yn bolisi fail-closed ynddo'i hun. Gall tabl arall, llwybr diofyn neu reol bolisi ddarparu cwymp yn dawel, a'r unig ffordd i wybod yw mynd â'r twnnel allanol i lawr ac arsylwi beth mae traffig y cymhwysiad yn ei wneud. Gwnewch hynny'n fwriadol, mewn ffenestr, yn hytrach na'i ddarganfod ar ddamwain.

Profwch dri chyflwr: twnnel allanol i lawr, twnnel mewnol i lawr, ac adferiad ar ôl i'r ddau ddod yn ôl. Defnyddiwch gownteri polisi ar bob porth, oherwydd dim ond bod y trafodaethau rheoli wedi llwyddo y mae dau sesiwn IKE sefydledig yn ei brofi.

Cymerwch gyllideb ar gyfer y ddau gapsiwliad. Canlyniad pecynnau bach yw IKE sy'n gweithio, a gall pecynnau cymhwysiad maint llawn fethu o hyd ar ôl ychwanegu dau bennawd; profwch â maint llwyth tâl hysbys ar y llwybr go iawn yn hytrach na chymryd yn ganiataol fod y niferoedd yn adio. Mae'r rhifyddeg yn hawdd, nid y llwybr.