IPsec-trapaso sur hejma enkursigilo: kion ĝi vere faras

Trapasaj ŝaltiloj de enkursigilo estas permesoj pri plusendado por aparato malantaŭ ili, ne VPN-servoj. Ili ne registras la enkursigilon kiel klienton, ne tenas identigilojn kaj ne pelas ĉiun aparaton en la domo tra fora eliro. Kion ili faras, tio estas formi kiel unu protokolo transiras la adresan tradukon kaj la filtrilojn. Kiam tio klaras, la ŝaltilo fariĝas facila por testi kaj facila por lasi malŝaltita.

Kion la enkursigilo vere faras

La enkursigilo sidas inter kliento kaj IPsec-partnero, plusendante pakaĵojn, kiujn ĝi neniam estis desegnita kompreni. Fabrikantoj realigas la funkcion almenaŭ tri manierojn: protokola helpanto, kiu spuras aŭ reskribas staton; filtrila escepto, kiu ĉesigas forĵetadon de ESP; aŭ kongrueca reĝimo celita al pli malnovaj klientoj. La etikedo en la reta fasado malofte diras, kiun el la tri vi havas. Nur la firmvara noto aŭ pakaĵa registraĵo diros tion.

Helpanto povas ankaŭ malbonigi la aferojn. Helpo verkita por pli malnova fluo foje ĝenas klienton, kiu jam traktas la tradukon ĝuste. Kiam moderna kliento funkcias kun la opcio malŝaltita, restigi ĝin malŝaltita estas la pli bona agordo.

Trapaso neniam donas al la enkursigilo la ŝlosilojn de la partneroj. Ĝi ankoraŭ vidas la eksterajn adresojn kaj pordojn, kaj ĝi ankoraŭ aplikas sian propran plusendan politikon al ili.

NAT kaj NAT-T decidas la vojon

IPsec ne estis konstruita por postvivi adresan tradukon, do la normoj aldonis envolvaĵon. NAT-trairo enkapsuligas ESP en UDP, lasante ordinaran NAT-tabelon porti la fluon, kaj la intertraktado konsentas pri tiu ŝalto dum IKE (RFC 3948). IKE mem uzas UDP 500, dum la enkapsuligita vojo kutime uzas UDP 4500.

Tial fajroŝirma regulo, kiu permesas nur protokolon 50, ne sufiĉas sur tradukita vojo. Bari 4500 rompas la kazon, por kiu la envolvaĵo ekzistas, kaj bari 500 haltigas la intertraktadon antaŭ ol iu ajn tunelo formiĝas. Ambaŭ direktoj gravas, ĉar statspura enkursigilo kutime permesas la respondon nur post kiam ĝi vidis la peton. Atingi pordon ne samas kiel fini aŭtentikigon, kaj ankaŭ ne kiel plusendi protektitan trafikon.

Pli malnovaj aranĝoj sufiĉe malsamas, ke gvidilo verkita por ili povas trompi. Kiam kliento proponas ambaŭ reĝimojn, testu tiun, kiun via partnero dokumentas, anstataŭ tiun kun pli da serĉrezultoj.

Trovu la malsukcesan stadium

Dividu la problemon en intertraktado, aŭtentikigo, ida protektado kaj interna plusendado, poste kolektu pruvojn por unu stadio samtempe. Restartigo, kiu portempe ŝanĝas la rezulton, pruvas nur ke iu stato estis implikita.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

La registraĵo montras, ĉu la interŝanĝo atingas la partneron kaj ĉu respondoj revenas, kio apartigas filtrilan problemon disde identigila problemo. La stata listo montras establitajn sekurecajn asociojn, do malplena listo post provo indikas intertraktadon anstataŭ enkursigon. La politika listo montras, kiuj selektiloj estas instalitaj, kaj ĝuste tie celo ekster la subreto estas ekskludita. Legu ambaŭ xfrm-elirojn antaŭ ol tuŝi la enkursigilon, ĉar ili priskribas tion, kion la gastiganto kredas, anstataŭ tion, kion la enkursigilo permesas.

Se pakaĵoj foriras kaj nenio revenas, movu la registraĵon al la WAN-flanko de la enkursigilo. Kompari la du registraĵojn lokas la forĵeton sen diveni.

Malŝaltu tion, kion vi ne bezonas

Unu funkcianta tekokomputilo ne pruvas, ke la enkursigilo traktas plurajn klientojn samtempe. Ĉiu kliento kreas sian propran tradukan staton kaj sian propran intertraktadon, kaj iuj helpantoj spuras nur unu fluon. Testu la nombron da samtempaj sesioj, kiujn vi vere bezonas, el la retoj, kiujn vi vere uzas. Se la dua kliento malsukcesas dum la unua prosperas, tio estas la trovo, ne laŭviva tunelo.

Lasu la opcion ŝaltita nur kiam registraĵo montras, ke ĝi necesas. Notu la firmvaran version apud la rezulto, ĉar tiuj kondutoj ŝanĝiĝas inter eldonoj. La celo estas klienta tunelo, kiun vi kontrolis, ne ŝaltilo, kiun vi espere ŝaltis.