L2TP, GRE edo IPsec: zein geruzak eraman behar du saioa?

Beti nahasten dira bi galdera, L2TP, GRE eta IPsec diseinu-ohar berean agertzen direnean: zein saio daramadan eta zein geruzak babesten duen? Lehenengoa gaizki eginez gero, beherago dagoen guztiak koherentzia mantenduko du barnean, arazo okerra konponduz — bideratutako gainjartze bat erabiltzaileek sartu behar zuten lekuan eraikia, edo sarrera-kontzentratzaile bat guneen arteko atebidearen ordez. Beheko lan-orriak bereizketa hori egitera behartzen du inor gailuan saioa hasi baino lehen. Betetzen baduzu ordenan, lerro bakoitza bere kabuz proba daitekeen zerbait bilakatuko da.

Hasi saiotik, ez protokoloen zerrendatik

PPP saio bat duen urrutiko erabiltzailea eta bi atebideren arteko bideratutako gainjartzea sare-harreman desberdinak dira, nahiz eta biak azkenean IPsec-era bilduta egon. Lehenengoak erabiltzaile bakoitzeko esteka amaitzen du eta helbide-esleipena, pertsona edo gailu baten autentifikazioa eta erabiltzaile horrek zein barne-sare atzi ditzakeen izendatzen duen politika behar ditu. Bigarrenak inork sarbiderik egiten ez duen guneen artean paketeak birbidaltzen ditu.

Idatzi bietatik zein eraikitzen ari zaren izendatzen duen esaldi bat, eta gero irakurri berriro hura erabili beharko lukeen pertsona izango bazina. Esaldiak «eta» hitza behar badu, biak eraikitzen ari zara, eta lan-orriak bi zutabe behar ditu, bakoitzari erdi-mailan zerbitzatzen dion zutabe bakarraren ordez. Erabiltzaile bat izendatzen badu baina ez helbide-poolik, edo aurrizki bat baina ez birbidaltze-politikarik, esaldia osatu gabe dago oraindik. Formulazioak burokratiko itxura du, baina hori da laguntza-mahaiaren tiket baten bidez bestela aurkituko litzatekeen diseinua harrapatzeko lekurik merkeena.

Eman geruza bakoitzari zeregin zehatz bat

L2TPv2-k PPP saioak eramaten ditu bere bi muturren artean. PPP-k estekak negoziazioa eramaten du eta, negoziatzen denean, erabiltzailearen autentifikazioa; L2TPk ez du kriptografiarik gehitzen, beraz L2TP daemon soil batek ez du IPsec segurtasun-harremanaren zatirik inplementatzen eta jada fidatzen zaren esteka baten barruan bakarrik dagokio.

GRE bi helbideren arteko kapsulatze bat da. Sare-geruzako paketeak gainjartze logiko batetik eramaten ditu eta, bere horretan, ez du ez konfidentzialtasunik ez parekidetzat autentifikaturik eskaintzen. Horri ez da akats bat: goiburua sinplea izateko diseinatu zen, birbidaltze hardwarean prozesatzeko merkea izan dadin. Ondorioa da GREk «nola mugitzen dut pakete hau bi helbideren artean» galderari erantzuten diola eta beste ezeri ez, eta hain zuzen hori da hari egin behar dizkiozun galdera.

Horrek IPsec uzten du trafikoa hautatzen, parekoak autentifikatzen eta babesteko esan ziotena zifratzen duen geruza gisa. Zein trafiko babesten duen konfigurazio-erabakia da, muturrek benetan sortzen duten kapsulatzearekin bat etorri behar duena, GREren kanpoko helbiderako idatzitako politikak barneko aurrizkietarako idatzitakoak ez bezala jokatzen baitu. GRE zehaztapena karga erabilgarria, GRE goiburua eta kanpoko entrega-protokoloa bereizita ageri dira, eta zure politikak bereizketa bera behar du.

Idatzi paketearen ibilbidea konfigurazioa baino lehen

Hartu pakete bat eta zerrendatu gehitutako goiburu bakoitza gehitzen den ordenan, gehitzen duen gailua izendatuz. Sarrera-erabiltzaile batentzat, normalean PPP da L2TP barruan, hau IPsec barruan; gune-gainjartze batentzat, barneko IP paketea da GRE barruan, hau IPsec barruan. Bi gailuk goiburu bera gehitzen badute, begizta bat edo tunel bikoiztu bat duzu, eta politikaren edozein aldaketak ez du konponduko.

Zerrenda berak MTUa erabakitzen du, erabil daitekeen barne-tamaina neurtutako bide-MTUa da eta zerrendatu berri dituzun goiburuak kenduta, besterik ez. Ez kopiatu zenbaki bat foroko mezu batetik: batu kanpoko IP, UDP eta ESP gainkarga, gero GRE edo L2TP, gero PPP dagokion lekuan, eta kendu benetan neurtu duzun bide-MTUari. Transferentzia handietan soilik agertzen diren sintomak, edo ezartzen diren eta lehen erantzun handian hiltzen diren saioak, normalean batuketa hori asmatuta egin izanaren arrastoa dute.

Egiaztatu geruza bakoitza bere aldetik, kanpotik barrura

Exekutatu egiaztapenak ordenan eta gelditu lehenengo huts egiten duenean. Lerro bakoitzak galdera desberdin bat erantzuten du, beraz hutsegite batek lan-orriko zutabe bat seinalatzen du, tunela hondatuta dagoela esan beharrean.

ip xfrm state                  # is the IPsec SA up?
ip -s link show gre1           # does the overlay interface carry packets?
ip route get 10.20.0.5         # does the inner prefix route where you think?
ss -lun | grep -E "1701|4500"  # are the L2TP and NAT-T listeners bound?

Cisco kaxa batean baliokidea rolen araberakoa da, eta sintaxi zehatza plataformaren eta bertsioaren araberakoa: show crypto session IPsec parekoentzat, interfaze-kontagailuak GRE edo tunel-interfazearentzat, eta VPDN edo PPP egiaztapena sarrera-rolarentzat. PPP amaitzen duen komando-multzo batek ez du ezer frogatzen GRE euskarriari buruz, eta GRE interfaze batek ondo funtzionatzeak ez du ezer frogatzen PPP zerbitzuari buruz, beraz egiaztatu benetan konfiguratu duzun rola, diagramakoa ez dena.

Erregistratu irteera bakoitza dagokion lan-orriko lerroaren ondoan. Hutsegitea bizirik dagoen bitartean hartutako oharrek gehiago balio dute gero memoriatik marraztutako topologia batek baino.

Ordenatu desmuntatzea, eta gero berregiaztatu

Desmuntatzea alderantziz doa arrazoi batengatik: atera babestutako trafikoa IPsec politikatik, hari idatzi zitzaion kapsulatzea kendu baino lehen, bestela politikak jada existitzen ez den interfaze bat seinalatzen jarraituko du eta hurrengo konfigurazio-kargak huts egingo du erlazionatuta ez dirudien tokiren batean. Linuxen horrek esan nahi du egoera- eta politika-erregistroak tunel-interfazea baino lehen ezabatzea; bideratzailean, crypto map edo profileko sarrera tunela baino lehen kentzea.

Berregin ondoren, errepikatu onarpen-behaketa lauak banan-banan: kanpoko irisgarritasuna, ezarritako IPsec elkartea, ezarritako PPP saioa diseinuak bat barne hartzen duenean, eta barne-birbidalketa benetako helmuga-helbide batera. Semaforo berde batek ez du beste hirurentzako frogarik, eta hutsune hori da produkzioan luzeen bizirik irauten duen hutsegitea — tunel bat martxan, zifratuta eta ezer birbidaltzen ez duena, barne-ibilbidea inoiz gehitu ez zelako.

Eduki betetako lan-orria gailuaren konfigurazioaren ondoan. Ezin duzun bete zutabe bat zereginik esleitu gabeko geruza bat da, eta zereginik esleitu gabeko geruza bat normalean ez luke pilan egon behar.