Nola funtzionatzen du bideetan oinarritutako IPsec-ek XFRM interfaze batekin

Bideetan oinarritutako IPsec-ek bideratze-taulari politika-hautatzaileek lehen hartzen zuten erabaki bat ematen dio. Linuxen hori posible egiten duen pieza XFRM interfazea da: gailu birtual bat, zeinaren trafikoa IPsec egoerarekin bat etortzen den interfaze-identifikatzaile baten bidez, hautatzaile baten ordez. Bat sortzeko komando bakarra behar da eta ez du ezer frogatzen tunel bat badagoen ala ez. Gailua bideratzearen eta segurtasun-politikaren arteko kako bat da, eta kako horren bi aldeak konfiguratu behar dira ezer babestu aurretik.

Zer da gailua eta zer ez

XFRM interfazea bideratze-heltze bat da. Bertara bideratutako paketeak interfaze-identifikatzaile bera erreferentziatzen duten XFRM politikekin bat etortzen dira, eta politika eta egoera bat badaude, kapsulatu egiten dira. Horiek gabe, interfazea badago, kontagailuak geldirik daude, eta trafikoa alferrikako leku batera doa.

Hau da lehen banaketa diagnostikoa. Gailurako bidea bideratze-egia da, instalatutako egoera segurtasun-egia da, eta gailuan igotzen ari den kontagailua ez da bata ez bestea. Jendeak tunela gora dagoela esaten duenean interfazeak UP erakusten duelako, bere parekorik ez duen gailu birtual baten esteka-bandera deskribatzen ari dira. Banderak gailua sortu eta gaituta dagoela esan nahi du, ez gehiago.

Beste muga bat: interfaze-identifikatzailea ez da izen bat. Izen antzekoak eta identifikatzaile desberdinak dituzten bi gailuk ez dute egoera partekatzen, eta identifikatzaile okerrarekin konfiguratutako konexio batek inongo bidek inoiz erabiliko ez duen egoera instalatzen du.

Eraiki bat ordena egokian

Hasi kanpoko gailuarekin eta deabruaren konfigurazioan ere jarriko duzun zenbaki batekin. Adibideak eth0 erabiltzen du kanpoko interfaze gisa eta 42 identifikatzaile gisa, zureekin ordeztu beharko lituzkeen helbideak.

Igo gailua, eta gero baieztatu kernelak erregistratu zuen identifikatzailea VPN konfigurazioa ukitu aurretik:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Orain konfiguratu konexioa strongSwan-en identifikatzaile berarekin, deabruak hari erreferentzia egiten dioten politikak eta egoerak instalatu behar baititu. Ezarri tokiko eta urrutiko trafiko-hautatzaileak bideratu nahi duzun barrutira, eta gero bideratu barruti hori gailura. Deabruaren konfigurazioak eta bideratze-taulak identifikatzailean eta helmugekin ados egon behar dute, eta batek ez du bestea hornitzen.

Eduki IKE eta ESP tunel-bidetik kanpo

XFRM gailura seinalatzen duen bide lehenetsi batek kapsulatutako paketeak eta haiek daramaten trafikoa hartzen ditu. Emaitza begizta bat da: atebideak bere ESP bidaltzen saiatzen da ESP-k eraiki behar duen tunelaren bidez.

Konponbidea parekoaren kanpoko helbiderako bide zehatzagoa da, interfaze fisikoaren bidez, eta lehenetsia gainditzen du bit gehiagorekin bat egiten duelako. Marketan oinarritutako bideratzeak lan bera egiten du tunel batzuek taula bat partekatzen dutenean, eta strongSwan-ek bi ikuspegiak dokumentatzen ditu bideetan oinarritutako hedapenetarako.

Edozer aukera dezakezula ere, egiaztatu kanpoko paketea kapsulatu gabe irteten dela. Egiaztapen bizkorra parekoaren kanpoko helbidera ping egitea da tunela goratu ondoren; horrek huts egiten badu interfazea gora dagoela, susma ezazu harrapaketa, ez irisgarritasuna. Arrazoi bera aplikatzen zaio IKE atariari, deabruaren beraren UDP trafikoa ezin baita bere burua ezartzen saiatzen ari den gailura bideratu.

Egiaztatu kontagailuak bi lekutan zifratzea erruduntzat jo aurretik

Interfaze-kontagailuek eta egoera-kontagailuek etapa desberdinak neurtzen dituzte. Gailura bideratutako paketeek gailua handitzen dute inongo egoerak bat egiten ez duenean ere, eta egoera-kontagailuak benetan kapsulatu zen trafikoarentzat soilik mugitzen dira.

Irakurri biak, eta gero irakurri deabruak haur-elkarteari buruz duen ikuspegia:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Gailuaren kontagailuak igotzea egoera-irteera hutsarekin bideratzeak funtzionatzen duela eta politikak bat egiten ez duela esan nahi du, normalean identifikatzaile edo hautatzaile errore bat. Egoera-kontagailuak igotzea urrutiko alderdiak ezer jakinarazi gabe paketeak irteten direla baina iristen ez direla edo autentifikazioan huts egiten dutela esan nahi du, eta horrek bidera edo parekoaren konfiguraziora eramaten du. Zerrendatutako haur bat zero trafikorekin hautatzaile-arazo bat da mutur batean, ez da zifratzaile hautsia.

Erabaki nor den bideak instalatzen dituena

Bideratze-taula baten bi jabe etengabeko aldaketaren ohiko iturria dira. Deabruak bideak automatikoki instalatzen baditu, zure sare-kudeatzaileak ezin du gailu beretik bide lehenetsi bat ere instalatu, eta abiarazte-script batek gehitutako bide eskuzkoa hurrengoan deabrua birkonfiguratzean kenduko da.

Aukeratu jabe bat eta idatzi. Deabruak bideak baditu, eduki abiarazte-scripta taulatik kanpo eta utzi konexioaren definizioari trafiko-hautatzaileak deskribatzen. Sare-kudeatzaileak baditu, desgaitu instalazio automatikoa eta onartu deabruak ez duela falta den bide bat konponduko berriz konektatzean.

Birbidaltze- eta suebaki-arauak horren gaineko erabaki bereizia dira, beste ostalarien trafikoa pasatzen duen atebide batek biak behar baititu. Bideetan oinarritutako IPsec-ek trafiko hori bideratze-tresna arruntekin adierazteko erraz egiten du; ez du politika-geruza hautazkoa bihurtzen.