IPsec-gennemførsel på en hjemmerouter: hvad den egentlig gør

Routerens gennemførselsomskiftere er videresendelsesindrømmelser for en enhed bag dem, ikke VPN-tjenester. De tilmelder ikke routeren som klient, holder ikke på legitimationsoplysninger og presser ikke hver enhed i huset gennem en fjernudgang. Det, de gør, er at forme, hvordan én protokol krydser adresseoversættelse og filtre. Når det er klart, er omskifteren let at teste og let at lade være slukket.

Hvad routeren egentlig gør

Routeren sidder mellem en klient og en IPsec-peer og videresender pakker, den aldrig blev designet til at forstå. Producenter implementerer funktionen på mindst tre måder: en protokolhjælper, der følger eller omskriver tilstand, en filterundtagelse, der stopper med at droppe ESP, eller en kompatibilitetstilstand rettet mod ældre klienter. Etiketten i webgrænsefladen siger sjældent, hvilken af de tre du har. Kun firmwarenoterne eller en pakkeoptagelse vil sige det.

En hjælper kan også gøre tingene værre. Hjælp skrevet til et ældre flow forstyrrer nogle gange en klient, der allerede håndterer oversættelse korrekt. Når en moderne klient virker med indstillingen slukket, er det den bedre konfiguration at lade den være slukket.

Gennemførsel giver aldrig routeren peernes nøgler. Den ser stadig de ydre adresser og porte og anvender stadig sin egen videresendelsespolitik på dem.

NAT og NAT-T afgør vejen

IPsec blev ikke bygget til at overleve adresseoversættelse, så standarderne tilføjede en indpakning. NAT-traversal indkapsler ESP i UDP, så en almindelig NAT-tabel kan bære flowet, og forhandlingen aftaler det skift under IKE (RFC 3948). IKE selv bruger UDP 500, mens den indkapslede vej typisk bruger UDP 4500.

Derfor er en firewallregel, der kun tillader protokol 50, ikke nok på en oversat vej. Blokering af 4500 ødelægger det tilfælde, indpakningen findes for, og blokering af 500 stopper forhandlingen, før nogen tunnel dannes. Begge retninger betyder noget, fordi en tilstandsfuld router normalt først tillader svaret, efter den har set anmodningen. At nå en port er ikke det samme som at fuldføre godkendelse, og heller ikke det samme som at videresende beskyttet trafik.

Ældre ordninger adskiller sig nok til, at en vejledning skrevet til dem kan vildlede. Når en klient tilbyder begge tilstande, skal du teste den, din peer dokumenterer, frem for den med flest søgeresultater.

Find det svigtende trin

Del problemet op i forhandling, godkendelse, beskyttelse af barnet og indre videresendelse, og indsaml så beviser for én fase ad gangen. En genstart, der midlertidigt ændrer resultatet, beviser kun, at en eller anden tilstand var involveret.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Optagelsen viser, om udvekslingen når peeren, og om svar kommer tilbage, hvilket adskiller et filtreringsproblem fra et legitimationsproblem. Tilstandslisten viser etablerede sikkerhedsassociationer, så en tom liste efter et forsøg peger på forhandling frem for routing. Politiklisten viser, hvilke selektorer der er installeret, og det er der, en destination uden for subnettet udelukkes. Læs begge xfrm-uddata, før du rører routeren, fordi de beskriver, hvad værten tror, frem for hvad routeren tillader.

Hvis pakkerne forlader og intet kommer tilbage, flyt optagelsen til routerens WAN-side. At sammenligne de to optagelser lokaliserer tabet uden at gætte.

Sluk for det, du ikke har brug for

Én fungerende bærbar computer beviser ikke, at routeren håndterer flere klienter på én gang. Hver klient skaber sin egen oversættelsestilstand og sin egen forhandling, og nogle hjælpere følger kun ét flow. Test det antal samtidige sessioner, du faktisk har brug for, fra de netværk, du faktisk bruger. Hvis den anden klient fejler, mens den første trives, er det fundet og ikke en ustabil tunnel.

Hold kun indstillingen slået til, når en optagelse viser, at den er nødvendig. Notér firmwareversionen ved siden af resultatet, fordi disse adfærdsmønstre ændrer sig mellem udgivelser. Målet er en klienttunnel, du har verificeret, ikke en omskifter, du har slået til i håb.