IPsec-trochlit op in hûsrouter: wat it wier docht

Trochlitskeakels fan ’e router binne trochlitkonsesjes foar in apparaat dêrefter, gjin VPN-tsjinsten. Se registrearje de router net as kliïnt, hâlde gjin oanmeldgegevens en stjoere net elk apparaat yn ’e hûs troch in ôfstân-útgong. Wat se dogge, is foarmjaan hoe’t ien protokol de adresomsetting en filters oerstekt. As dat dúdlik is, is de skeakel maklik te testen en maklik út te litten.

Wat de router wier docht

De router sit tusken in kliïnt en in IPsec-peer en stjoert pakketten troch dy’t er nea ûntwurpen is om te begripen. Fabrikanten ymplementearje de funksje op syn minst op trije manieren: in protokolhelper dy’t steat folget of weromskriuwt, in filterútsûndering dy’t it weiskowen fan ESP stopet, of in kompatibiliteitsmodus rjochte op âldere kliïnten. It label yn ’e webynterface seit selden hokker fan de trije jo hawwe. Allinnich de firmware-notysjes of in pakketregistraasje sille dat sizze.

In helper kin dingen ek slimmer meitsje. Help skreaun foar in âldere stream steurt soms in kliïnt dy’t de omsetting al goed behannelet. Wannear’t in moderne kliïnt wurket mei de opsje út, is it de bettere konfiguraasje om dy út te litten.

Trochlit jout de router nea de kaaien fan ’e peers. Hy sjocht noch altyd de bûtenste adressen en poarten, en hy past syn eigen trochstjoerbelied dêrop ta.

NAT en NAT-T bepale it paad

IPsec is net boud om adresomsetting te oerlibjen, dêrom hawwe de standerts in omhulsel tafoege. NAT-traversal kapselt ESP yn UDP, sadat in gewoane NAT-tabel de stream drage kin, en de ûnderhanneling komt dat skoft by IKE oerien (RFC 3948). IKE sels brûkt UDP 500, wylst it ynkapslele paad meastentiids UDP 4500 brûkt.

Dêrom is in firewallregel dy’t allinnich protokol 50 tastean lit net genôch op in omset paad. 4500 blokkearje brekt it gefal dêr’t it omhulsel foar bestiet, en 500 blokkearje stopet de ûnderhanneling foar’t der in tunnel foarmet. Beide rjochtingen binne fan belang, want in router mei steat tastiet it antwurd meastentiids pas neidat er it fersyk sjoen hat. In poarte berikke is net itselde as autentikaasje ôfmeitsje, en ek net as beskerme ferkear trochstjoere.

Âldere regelingen ferskille genôch dat in gids skreaun foar har misliedend wêze kin. Wannear’t in kliïnt beide modi biedt, test dan dyjinge dy’t jo peer dokumintearret, net dy mei mear sykresultaten.

Fyn de faze dy’t misrint

Diel it probleem op yn ûnderhanneling, autentikaasje, bernbeskerming en ynterne trochstjoering, en sammelje dan bewiis foar ien faze tagelyk. In werstart dy’t it resultaat tydlik feroaret, bewiist allinnich dat der wat steat by belutsen wie.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

De registraasje lit sjen oft de útwikseling de peer berikt en oft antwurden weromkomme, wat in filterprobleem fan in oanmeldprobleem skiedt. De steatlist lit fêstige feiligensassosjaasjes sjen, dus in lege list nei in poging wiist op ûnderhanneling ynstee fan routing. De beliedslist lit sjen hokker selektors ynstallearre binne, en dêr wurdt in bestimming bûten it subnet útsletten. Lês beide xfrm-útgongen foar’t jo de router oanreitsje, want se beskriuwe wat de host mient ynstee fan wat de router tastiet.

As pakketten fuortgeane en der komt neat werom, ferpleats de registraasje dan nei de WAN-kant fan ’e router. It fergelykjen fan ’e twa registraasjes lokaliselet it weiskowen sûnder te rieden.

Skeakel út watsto net nedich hast

Ien wurkjende laptop bewiist net dat de router ferskate kliïnten tagelyk behannelet. Elke kliïnt makket syn eigen omsettingssteat en syn eigen ûnderhanneling, en guon helpers folgje mar ien stream. Test it oantal tagelyk aktive sesjes dat jo wier nedich hawwe, fan ’e netwurken dy’t jo wier brûke. As de twadde kliïnt mislearret wylst de earste bloeit, is dat de fynst en gjin wankeljend tunnel.

Hâld de opsje allinnich oan as in registraasje sjen lit dat it nedich is. Skriuw de firmware-ferzje njonken it resultaat, want dizze gedragingen feroarje tusken ferzjes. It doel is in kliïnttunnel dy’t jo ferifiearre hawwe, net in skeakel dy’t jo hoopfol ynskeakele hawwe.