IPsec yn pasio drwy’r llwybrydd cartref: beth mae’n ei wneud mewn gwirionedd

Mae switshis pasio llwybrydd yn gonsesiynau blaenyrru i ddyfais y tu ôl iddynt, nid yn wasanaethau VPN. Nid ydynt yn cofrestru’r llwybrydd fel cleient, nid ydynt yn cadw manylion mewngofnodi, ac nid ydynt yn gwthio pob offeryn yn y tŷ drwy allanfa bell. Yr hyn maent yn ei wneud yw llunio sut mae un protocol yn croesi cyfieithu cyfeiriadau a hidlyddion. Unwaith y mae hynny’n glir, mae’r switsh yn hawdd ei brofi ac yn hawdd ei adael i ffwrdd.

Beth mae’r llwybrydd yn ei wneud mewn gwirionedd

Mae’r llwybrydd yn eistedd rhwng cleient a chymar IPsec, gan flaenyrru pecynnau na chafodd ei gynllunio i’w deall. Mae gwerthwyr yn gweithredu’r nodwedd mewn o leiaf tair ffordd: cynorthwyydd protocol sy’n tracio neu’n ailysgrifennu cyflwr, eithriad hidlydd sy’n stopio gollwng ESP, neu fodd cydnawsedd ar gyfer cleientiaid hŷn. Anaml y mae’r label yn y rhyngwyneb gwe yn dweud pa un o’r tri sydd gennych. Dim ond nodiadau’r cadarnwedd neu gipio pecynnau a fydd yn dweud hynny.

Gall cynorthwyydd wneud pethau’n waeth hefyd. Mae cymorth a ysgrifennwyd ar gyfer llif hŷn weithiau’n ymyrryd â chleient sy’n trin cyfieithu’n gywir yn barod. Pan fydd cleient modern yn gweithio â’r opsiwn i ffwrdd, gadael iddo fod i ffwrdd yw’r gosodiad gwell.

Nid yw pasio byth yn rhoi allweddi’r cymheiriaid i’r llwybrydd. Mae’n dal i weld y cyfeiriadau a’r porthladdoedd allanol, ac mae’n dal i gymhwyso ei bolisi blaenyrru ei hun iddynt.

NAT a NAT-T sy’n penderfynu’r llwybr

Ni chafodd IPsec ei adeiladu i oroesi cyfieithu cyfeiriadau, felly ychwanegodd y safonau lapio. Mae NAT traversal yn lapio ESP y tu mewn i UDP, gan adael i dabl NAT cyffredin gario’r llif, ac mae’r trafodaeth yn cytuno ar y newid hwnnw yn ystod IKE (RFC 3948). Mae IKE ei hun yn defnyddio UDP 500, tra bod y llwybr wedi’i lapio fel arfer yn defnyddio UDP 4500.

Dyna pam nad yw rheol wal dân sy’n caniatáu protocol 50 yn unig yn ddigon ar lwybr wedi’i gyfieithu. Mae blocio 4500 yn torri’r achos y mae’r lapio’n bodoli ar ei gyfer, ac mae blocio 500 yn atal y drafodaeth cyn i unrhyw dwnnel ffurfio. Mae’r ddau gyfeiriad yn bwysig, oherwydd bod llwybrydd â chyflwr fel arfer yn caniatáu’r ateb dim ond ar ôl iddo weld y cais. Nid yw cyrraedd porthladd yr un peth â gorffen dilysu, nac ychwaith â blaenyrru traffig gwarchodedig.

Mae trefniadau hŷn yn ddigon gwahanol i ganllaw a ysgrifennwyd ar eu cyfer fod yn gamarweiniol. Pan fydd cleient yn cynnig y ddau fodd, profwch yr un y mae eich cymar yn ei ddogfennu yn hytrach na’r un sydd â mwy o ganlyniadau chwilio.

Dewch o hyd i’r cam sy’n methu

Rhannwch y broblem yn drafodaeth, dilysu, amddiffyniad plentyn a blaenyrru mewnol, yna casglwch dystiolaeth ar gyfer un cam ar y tro. Nid yw ailgychwyn sy’n newid y canlyniad dros dro yn profi dim ond bod rhyw gyflwr yn rhan o’r mater.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Mae’r cipiad yn dangos a yw’r cyfnewidiad yn cyrraedd y cymar ac a yw atebion yn dod yn ôl, sy’n gwahanu problem hidlo oddi wrth broblem manylion mewngofnodi. Mae’r rhestr cyflwr yn dangos cymdeithasau diogelwch a sefydlwyd, felly mae rhestr wag ar ôl ymgais yn cyfeirio at drafodaeth yn hytrach nag at lwybr. Mae’r rhestr polisi yn dangos pa ddetholwyr sydd wedi’u gosod, a dyna lle mae cyrchfan y tu allan i’r is-rwydwaith yn cael ei heithrio. Darllenwch y ddau allbwn xfrm cyn cyffwrdd â’r llwybrydd, oherwydd maent yn disgrifio’r hyn y mae’r gwesteiwr yn ei gredu, nid yr hyn y mae’r llwybrydd yn ei ganiatáu.

Os yw pecynnau’n gadael ac nad oes dim yn dychwelyd, symudwch y cipiad i ochr WAN y llwybrydd. Mae cymharu’r ddau gipiad yn lleoli’r gollwng heb ddyfalu.

Diffoddwch yr hyn nad oes ei angen arnoch

Nid yw un gliniadur sy’n gweithio yn profi bod y llwybrydd yn trin sawl cleient ar unwaith. Mae pob cleient yn creu ei gyflwr cyfieithu ei hun a’i drafodaeth ei hun, ac mae rhai cynorthwywyr yn tracio un llif yn unig. Profwch nifer y sesiynau ar yr un pryd sydd eu hangen arnoch mewn gwirionedd, o’r rhwydweithiau rydych chi’n eu defnyddio mewn gwirionedd. Os bydd yr ail gleient yn methu tra bod y cyntaf yn ffynnu, dyna’r canfyddiad, nid twnnel simsan.

Cadwch yr opsiwn ymlaen dim ond pan fydd cipiad yn dangos bod ei angen. Cofnodwch fersiwn y cadarnwedd wrth ymyl y canlyniad, oherwydd mae’r ymddygiadau hyn yn newid rhwng datganiadau. Y nod yw twnnel cleient a wiriwyd gennych, nid switsh a drodd arnoch ag obaith.