IPsec pasatzea etxeko routerrean: zer egiten duen benetan

Routerraren pasatze etengailuak atzeko gailu baterako birbidaltze-emakizunak dira, ez VPN zerbitzuak. Ez dute routerra bezero gisa erregistratzen, ez dituzte kredentzialak gordetzen eta ez dute etxeko gailu bakoitza irteera urrun batetik eramaten. Egiten dutena protokolo bat helbide-itzulpena eta iragazkiak nola zeharkatzen dituen moldatzea da. Hori argi dagoenean, etengailua erraza da probatzeko eta erraza itzalita uzteko.

Zer egiten duen routerrak benetan

Routerra bezero baten eta IPsec pare baten artean dago, eta ulertzeko diseinatu ez zen paketeak birbidaltzen ditu. Fabrikatzaileek funtzioa gutxienez hiru eratara ezartzen dute: egoera jarraitzen edo berridazten duen protokolo laguntzaile bat, ESP botatzea gelditzen duen iragazki salbuespen bat, edo bezero zaharragoetarako bateragarritasun modu bat. Web interfazeko etiketak gutxitan esaten du hiruretatik zein duzun. Firmware oharrek edo pakete kaptura batek soilik esango dute.

Laguntzaile batek gauzak okertu ditzake. Jario zaharrago baterako idatzitako laguntza batzuek itzulpena zuzen kudeatzen duen bezero bati eragozten diote. Bezero moderno bat aukera itzalita duela funtzionatzen badu, hobe da itzalita uztea.

Pasatzeak ez dizkio inoiz routerrari pareen gakoak ematen. Oraindik kanpoko helbideak eta portuak ikusten ditu, eta oraindik bere birbidaltze-politika aplikatzen die.

NAT eta NAT-T-ek erabakitzen dute bidea

IPsec ez zen helbide-itzulpena gainditzeko eraiki, beraz estandarrek bilgarri bat gehitu zuten. NAT traversal-ek ESP UDPren barruan kapsulatzen du, NAT taula arrunt batek jarioa eraman dezan, eta negoziazioak aldaketa hori adosten du IKEan (RFC 3948). IKEk berak UDP 500 erabiltzen du, eta kapsulatutako bideak normalean UDP 4500 erabiltzen du.

Horregatik, 50 protokoloa soilik baimentzen duen suebakiko arau bat ez da nahikoa bide itzuli batean. 4500 blokeatzeak bilgarria existitzen den kasua hausten du, eta 500 blokeatzeak negoziazioa gelditzen du tunelik eratu aurretik. Bi norabideak garrantzitsuak dira, egoera duen router batek erantzuna eskaera ikusi ondoren soilik baimentzen baitu normalean. Portu batera iristea ez da autentifikazioa amaitzearen berdina, ezta trafiko babestua birbidaltzearen berdina ere.

Konponketa zaharragoak nahikoa desberdinak dira haientzat idatzitako gida bat engainagarria izan dadin. Bezero batek bi moduak eskaintzen baditu, zure pareak dokumentatzen duena probatu, bilaketa-emaitza gehiago dituena baino.

Aurkitu huts egiten duen etapa

Zatitu arazoa negoziazioan, autentifikazioan, umearen babesean eta barne-birbidaltzean, eta gero bildu frogak etapa bakoitzeko. Behin-behinean emaitza aldatzen duen berrabiarazteak erakusten du soilik nolabaiteko egoera zegoela tartean.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Kapturak erakusten du trukea parearengana iristen den eta erantzunak itzultzen diren, eta horrek iragazki-arazoa kredentzial arazo batetik bereizten du. Egoera-zerrendak ezarritako segurtasun asoziazioak erakusten ditu, beraz saiakera baten ondorengo zerrenda hutsak negoziazioa adierazten du, ez bideratzea. Politika-zerrendak zein hautatzaile instalatuta dauden erakusten du, eta hor bertan baztertzen da azpisareaz kanpoko helburu bat. Irakurri bi xfrm irteerak routerrari ukitu aurretik, ostalariak uste duena deskribatzen baitute, ez routerrak uzten duena.

Paketeak irten eta ezer itzultzen ez bada, eraman kaptura routerraren WAN aldera. Bi kapturak alderatzeak bazterketa non gertatu den kokatzen du asmatu gabe.

Itzali behar ez duzuna

Behin funtzionatzen duen ordenagailu eramangarri batek ez du frogatzen routerrak hainbat bezero aldi berean zerbitzatzen dituenik. Bezero bakoitzak bere itzulpen-egoera eta bere negoziazioa sortzen ditu, eta laguntzaile batzuek jario bakarra jarraitzen dute. Probatu benetan behar duzun aldi bereko saio kopurua, benetan erabiltzen dituzun sareetatik. Bigarren bezeroak huts egiten badu lehena ondo doan bitartean, hori da aurkikuntza, ez tunel ezegonkor bat.

Mantendu aukera piztuta kapturak beharrezkoa dela erakusten duenean soilik. Idatzi firmware bertsioa emaitzaren ondoan, portaera horiek argitalpenen artean aldatzen baitira. Helburua egiaztatu duzun bezero-tunel bat da, itxaropenaz piztu duzun etengailu bat ez.