IPsec ESP: zer garraiatzen duen eta fluxua dabilela nola frogatu
ESPk barneko IP paketea inguratzen du tunel moduan eta bere elkarketaren berri ematen du SPIren bidez. Irakurri egoera eta, ondoren, ikusi fluxu bakar bat kontagailuak nola mugitzen dituen.
ESPk IPsec VPN bateko trafikoa garraiatzen du, eta haren runbooka arau batekin hasten da: irakurri segurtasun-elkarketa politika bat aldatu aurretik. ESPren portaera azaldugabearen zatirik handiena bat ez zetorren hautatzaile batera, irakurri beharrean suposatu zen modu batera, edo inork egiaztatu ez zuen kontagailu batera jotzen du, fluxu bakarra bidaltzen ari zela. Beheko hiru urratsek zein zer garraiatzen duen finkatzen dute, fluxu barek hura erabiltzen duela frogatzen dute eta memoriaren mende ez dagoen atzera-egitea uzten dute. Urrats bakoitzak idazteko merezi duen behaketa bat ematen du.
Ezagutu eremuak irakurri aurretik
ESPk babestutako datuen aurretik goiburua eta atzetik trailerra jartzen ditu. Goiburuak segurtasun-parametroen indize bat darama, hartzaileak zein elkarketa erabili behar duen adierazten duena, segida-zenbaki bat erreprodukzioa detektatzeko, eta trailerrean betegarria, karga erabilgarria zifraren arabera lerrokatuta mantentzen duena. Trailerreko hurrengo goiburuaren eremuak babestutako edukia zer den esaten du, eta horrela daki hartzaileak zer deskapsulatu duen.
Moduak babes horren barruan zer dagoen aldatzen du. Tunel moduan babestutako materiala barneko IP pakete osoa da, eta kanpo-goiburu berri batek eramaten du muturren artean. Garraio moduan babesak lehendik dagoen pakete baten goi-mailako karga erabilgarria inguratzen du, beraz ez dago bigarren IP goibururik irekitzeko. Zein modu erabiltzen den konfigurazioaren egitatea da, ez interpretazio-kontua. Irakurri egoera-erregistrotik, ez ondorioztatu diagrama batetik.
Inongo moduk ez du ezkutatzen paketea entregatu behar duen kanpo-helbideratzea. Hori diseinuaren ezaugarria da, ez gabezia, eta horregatik bitarteko behatzaile batek oraindik ikus dezake zein bi helbide ari diren hizketan, karga erabilgarria opakua denean ere.
Lehen urratsa: irakurri egoera, gero politika
Egoera-erregistzoek gakoak eta kontagailuak gordetzen dituzte; politika-erregistzoek haiek erabiltzeko baimena duena erabakitzen duten hautatzaileak gordetzen dituzte. Linuxen biak ikus daitezke paketeak harrapatu gabe, eta horrela irakurtzeak bi galderak bereizita mantentzen ditu.
ip xfrm state
ip xfrm policyEgoeraren irteeran, egiaztatu elkarketaren iturria eta helmuga, modua, eta kapsulatzeak UDP atakak erakusten dituen. Ataka horiek NAT zeharkapena erabiltzen dela esan nahi dute, eta horrek aldatzen du bitarteko suebaki batek zer onartu behar duen, baina ez muturretan zein hautatzaile edo gako aplikatzen diren.
Gero irakurri politikako hautatzaileak. Probatzen ari zaren trafikoa baino aurrizki estuagoa aipatzen duen hautatzailea da tunel erabilgarri batek fluxu bat alde batera uzten duela dirudien arrazoi ohikoena, eta protokolo okerreko hautatzaileak isiltasun bera sortzen du.
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
Fabrikatzaileen tresnek informazio bera forma erosoagoan inprimatzen dute. ipsec statusall strongSwanen, honek seme-elkarketak, haien hautatzaileak eta byte-kontagailuak zerrendatzen ditu, eta hori sarritan azkarragoa da xfrm irteera gordina irakurtzea baino, jada badakizu zein semeari begiratu.
Bigarren urratsa: frogatu fluxu barek kontagailuak mugitzen dituela
Kontagailuek zentzua dute soilik haiek zer mugitu behar zituen badakizu, beraz aukeratu hautatzaileak ziur estaltzen dituen iturri eta helmuga bat eta bidali eskaera kaltegabe bat. Gero irakurri berriro erregistro bera eta alderatu.
ip -s xfrm state
tcpdump -ni any espBi irakurketek istorio desberdinak kontatzen dituzte. Irteera aldean igotzen diren baina inoiz sarrerakoan igotzen ez diren paketeek birbidalketa edo itzulera-bideko arazo batera eramaten dute, ez gako-araoz, paketea kapsulatu eta alde egin baitzuen. Kontagailurik mugitzen ez bada, trafikoak ez zion politikari inoiz bat egin, eta hautatzailea da begiratu beharreko lekua.
Urrats bereko harrapaketak kableko kapsulatzea berresten du, kanpoko paketeak ESP diren edo UDPz kapsulatutako ESP diren barne. Fluxua benetan garraiatu zuten helbideak ere erakusten dizkizu, eta batzuetan irakurtzen ari zinen konfiguraziokoetatik desberdinak izaten dira.
Hirugarren urratsa: aldatu gauza bat eta mantendu atzera-egitea
Idatzi elkarketaren iturria, helmuga, modua, hautatzaileak eta kontagailuak ezer editatu aurretik. Aldaketa batek gauzak okertzen baditu, erregistro horrek ahalbidetzen dizu aurreko egoera leheneratzen, asmamen batetik konfigurazio erabilgarri bat berreraikitzen beharrean. Erregistroak minutu bat behar du idazteko eta geroago ordu bat aurrezten du. Aldaketa egin zuen pertsonaren ondoren bizirik irauten duen artefaktu bakarra ere bada.
Aldatu hautatzaile bat edo parametro bat, kargatu berriro, eta errepikatu bigarren urratsa fluxu beraren aurka. Elkarketa bat ezabatzeak hura erabiltzen duen fluxu guztia botatzen du, beraz edizio zuzendua eta semearen berriz kargatzea ia beti hobeak dira zer gertatzen den ikusteko egoera hustea baino.
Hautatzaileen edizio baterako atzera-egitea aurreko politika leheneratzea eta berriro kargatzea da, ohartarazpenarekin parekoak aldaketa egokia behar dezakeela hautatzailea negoziatzen bada eta ez bada lokala. Idatzi mendekotasun hori freskoa den bitartean, erdi-leheneratutako bikote bat bi amaiera-egoeretatik edozein baino zailagoa baita arrazoitzeko.
Amaitzeko, mantendu esparrua zintzotasunez. Fluxua duen ESP elkarketa batek frogatzen du bi atebideek segmentua babesten eta entregatzen dutela, eta ez du ezer esaten gaineko aplikazioak bere erabiltzaileak autentifikatzen dituen edo gordetzen duena zifratzen duen. Kontrol bereiziak dira, froga bereiziekin, eta runbooka amaitzen da hurrengo pertsonak oharretatik errepika dezakeenean.