IPsec-läpäisy kotireitittimessä: mitä se oikeasti tekee

Reitittimen läpäisykytkimet ovat edelleenlähetysmyönnytyksiä niiden takana olevalle laitteelle, eivät VPN-palveluja. Ne eivät rekisteröi reititintä asiakkaaksi, eivät pidä tunnuksia eivätkä työnnä jokaista talon laitetta etäpoistuman läpi. Ne muovaavat sitä, miten yksi protokolla ylittää osoitteenmuunnoksen ja suodattimet. Kun tämä on selvää, kytkintä on helppo testata ja helppo pitää poissa päältä.

Mitä reititin oikeasti tekee

Reititin on asiakkaan ja IPsec-vastapuolen välissä ja välittää paketteja, joita sen ei koskaan suunniteltu ymmärtävän. Valmistajat toteuttavat ominaisuuden ainakin kolmella tavalla: protokolla-apuri, joka seuraa tai kirjoittaa tilaa uudelleen; suodatinpoikkeus, joka lopettaa ESP:n pudottamisen; tai vanhemmille asiakkaille suunnattu yhteensopivuustila. Verkkokäyttöliittymän merkintä kertoo harvoin, mikä kolmesta sinulla on. Vain laiteohjelmiston muistiinpanot tai pakettikaappaus kertovat sen.

Apuri voi myös pahentaa asiaa. Vanhemmalle virtaukselle kirjoitettu apu häiritsee joskus asiakasta, joka jo käsittelee muunnoksen oikein. Kun nykyaikainen asiakas toimii asetus pois päältä, se on parempi kokoonpano pitää se poissa.

Läpäisy ei koskaan anna reitittimelle vastapuolten avaimia. Se näkee edelleen ulkoiset osoitteet ja portit ja soveltaa niihin edelleen omaa edelleenlähetyskäytäntöään.

NAT ja NAT-T ratkaisevat polun

IPsec:iä ei rakennettu kestämään osoitteenmuunnosta, joten standardit lisäsivät kääreen. NAT-läpäisy kapseloi ESP:n UDP:n sisään, jolloin tavallinen NAT-taulu voi kantaa virtauksen, ja neuvottelu sopii tästä vaihdosta IKE:n aikana (RFC 3948). IKE itse käyttää UDP 500:tä, kun taas kapseloitu polku käyttää yleensä UDP 4500:tä.

Siksi palomuurisääntö, joka sallii vain protokollan 50, ei riitä muunnetulla polulla. Portin 4500 estäminen rikkoo tapauksen, jota varten kääre on olemassa, ja portin 500 estäminen pysäyttää neuvottelun ennen kuin yhtään tunnelia syntyy. Molemmat suunnat merkitsevät, koska tilaa seuraava reititin sallii vastauksen yleensä vasta nähtyään pyynnön. Porttiin pääseminen ei ole sama kuin todennuksen loppuun saattaminen, eikä sama kuin suojatun liikenteen välittäminen.

Vanhemmat järjestelyt eroavat tarpeeksi, että niille kirjoitettu opas voi johtaa harhaan. Kun asiakas tarjoaa molemmat tilat, testaa sitä, jonka vastapuolesi dokumentoi, älä sitä, jolla on enemmän hakutuloksia.

Löydä epäonnistuva vaihe

Jaa ongelma neuvotteluun, todennukseen, lapsen suojaukseen ja sisäiseen välitykseen ja kerää sitten todisteita yhdestä vaiheesta kerrallaan. Uudelleenkäynnistys, joka muuttaa tulosta tilapäisesti, todistaa vain, että jokin tila oli mukana.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Kaappaus näyttää, saavuttaako vaihto vastapuolen ja palaavatko vastaukset, mikä erottaa suodatusongelman tunnusongelmasta. Tilaluettelo näyttää muodostetut tietoturvaliitokset, joten tyhjä luettelo yrityksen jälkeen viittaa neuvotteluun eikä reititykseen. Käytäntöluettelo näyttää, mitkä valitsimet on asennettu, ja juuri siinä aliverkon ulkopuolinen kohde jätetään pois. Lue molemmat xfrm-tulosteet ennen kuin kosket reitittimeen, sillä ne kuvaavat, mitä isäntä uskoo, ei sitä, mitä reititin sallii.

Jos paketit lähtevät eikä mitään palaa, siirrä kaappaus reitittimen WAN-puolelle. Kahden kaappauksen vertailu paikantaa pudotuksen arvaamatta.

Sammuta se, mitä et tarvitse

Yksi toimiva kannettava ei todista, että reititin palvelee useita asiakkaita yhtä aikaa. Jokainen asiakas luo oman muunnostilansa ja oman neuvottelunsa, ja jotkut apurit seuraavat vain yhtä virtausta. Testaa samanaikaisten istuntojen määrä, jonka todella tarvitset, verkoista, joita todella käytät. Jos toinen asiakas epäonnistuu ensimmäisen toimiessa, se on löydös, ei hutera tunneli.

Pidä asetus päällä vain, kun kaappaus osoittaa sen tarpeelliseksi. Merkitse laiteohjelmistoversio tuloksen viereen, koska nämä käyttäytymiset muuttuvat julkaisujen välillä. Tavoite on asiakastunneli, jonka olet varmistanut, ei kytkin, jonka kytkit toiveikkaasti päälle.