IPsec ESP: cad a iompraíonn sé agus conas a chruthú go bhfuil sé ag sreabhadh

Iompraíonn ESP an trácht i VPN IPsec, agus tosaíonn a runbook le riail amháin: léigh an comhlachas slándála sula n-athraíonn tú beartas. Tagann an chuid is mó d’iompar ESP gan mhíniú siar chuig roghnóir nár mheaitseáil, mód a glacadh leis seachas é a léamh, nó cuntar nár sheiceáil aon duine agus aon sreabhadh amháin á sheoladh. Socraíonn na trí chéim thíos cad a iompraíonn cad, cruthaíonn siad go n-úsáideann aon sreabhadh amháin é, agus fágann siad aischeartú nach mbraitheann ar chuimhne. Tugann gach céim breathnóireacht amháin ar fiú í a scríobh síos.

Bíodh aithne agat ar na réimsí sula léann tú iad

Cuireann ESP ceanntásc os comhair na sonraí cosanta agus leantóir ina dhiaidh. Iompraíonn an ceanntásc innéacs paraiméadar slándála a aithníonn cén comhlachas ar cheart don ghlacadóir a úsáid, uimhir sheichimh chun athsheinm a bhrath, agus sa leantóir líonadh a choinníonn an t-ualach úsáideach ailínithe don tsifear. Deir réimse an chéad cheanntáisc eile sa leantóir cad é an t-ábhar cosanta, agus is mar sin a bhíonn a fhios ag an nglacadóir cad a dhíchumhdaigh sé.

Athraíonn an mód cad atá taobh istigh den chosaint sin. I mód tolláin is é an t-ábhar cosanta ná paicéad IP inmheánach iomlán, agus iompraíonn ceanntásc seachtrach nua é idir na foircinn. I mód iompair cuimsíonn an chosaint ualach úsáideach na hardchiseal de phaicéad atá ann cheana, mar sin níl an dara ceanntásc IP le hoscailt. Is fíric chumraíochta é cén mód a úsáidtear, ní ceist léirmhínithe. Léigh é ón iontráil staid seachas é a thuiscint ó léaráid.

Ní cheiltíonn ceachtar mód an seoladh seachtrach a chaithfidh an paicéad a sheachadadh. Is airí den dearadh é sin seachas easnamh, agus is é sin an fáth ar féidir le breathnadóir idirmheánach fós a fheiceáil cén dá sheoladh atá ag caint fiú nuair a bhíonn an t-ualach úsáideach teimhneach.

Céim a haon: léigh an staid, ansin an beartas

Coinníonn iontrálacha staid na heochracha agus na cuntair; coinníonn iontrálacha beartais na roghnóirí a shocraíonn cé a fhéadfaidh iad a úsáid. Ar Linux tá an dá rud le feiceáil gan paicéid a ghabháil, agus fanann an dá cheist scartha má léann tú iad san ord sin.

ip xfrm state
ip xfrm policy

San aschur staid, seiceáil foinse agus ceann scríbe an chomhlachais, an mód, agus an léiríonn an cuimsiú calafoirt UDP. Ciallaíonn na calafoirt sin go bhfuil trasnú NAT in úsáid, rud a athraíonn cad a chaithfidh balla dóiteáin idirmheánach a cheadú, ach ní cé na roghnóirí nó na heochracha a bhaineann leis na foircinn.

Ansin léigh na roghnóirí sa bheartas. Is é roghnóir a ainmníonn réimír níos cúinge ná an trácht atá á thástáil agat an chúis is coitianta go bhfeictear do thollán atá ag obair neamhaird a dhéanamh ar shreabhadh, agus tugann roghnóir don phrótacal mícheart an chiúnas céanna.

Priontálann uirlisí na ndéantóirí an fhaisnéis chéanna i bhfoirm níos áisiúla. ipsec statusall ar strongSwan liostaíonn sé na comhlachais linbh, a roghnóirí agus a gcuntair bheart, rud is minic a bhíonn níos tapúla ná aschur amh xfrm a léamh nuair is eol duit cheana cé acu leanbh le féachaint air.

Céim a dó: cruthaigh go mbogann aon sreabhadh amháin na cuntair

Níl ciall le cuntair mura bhfuil a fhios agat cad ba cheart a bheith tar éis iad a bhogadh, mar sin roghnaigh foinse agus ceann scríbe a chlúdaíonn an roghnóir go cinnte agus seol aon iarratas neamhdhíobhálach. Ansin léigh an iontráil chéanna arís agus déan comparáid.

ip -s xfrm state
tcpdump -ni any esp

Insíonn dhá léamh scéalta difriúla. Cuireann paicéid a mhéadaíonn ar an taobh amuigh ach nach méadaíonn riamh ar an taobh istigh in iúl go bhfuil fadhb aistrithe nó cosáin fillte ann seachas fadhb eochrach, mar cuimsíodh an paicéad agus d’imigh sé. Mura mbogann aon chuntar, níor mheaitseáil an trácht leis an mbeartas riamh, agus is é an roghnóir an áit le féachaint.

Deimhníonn an gabháil sa chéim chéanna an cuimsiú ar an sreang, lena n-áirítear an bhfuil na paicéid sheachtracha ina ESP nó ina ESP cuimsithe in UDP. Taispeánann sé duit freisin na seoltaí a d’iompair an sreabhadh i ndáiríre, agus uaireanta bíonn siad sin difriúil ó na cinn sa chumraíocht a bhí á léamh agat.

Céim a trí: athraigh rud amháin agus coinnigh aischeartú

Scríobh síos foinse, ceann scríbe, mód, roghnóirí agus cuntair an chomhlachais sula n-athraíonn tú rud ar bith. Má dhéanann athrú rudaí níos measa, is é an taifead sin a ligeann duit an staid roimhe a athchóiriú seachas cumraíocht oibre a atógáil ó bhuille faoi thuairim. Tógann an taifead sin nóiméad le scríobh agus sábhálann sé uair an chloig níos déanaí. Is é freisin an t-aon déantán a mhaireann an duine a rinne an t-athrú.

Athraigh roghnóir amháin nó paraiméadar amháin, athlódáil é, agus déan céim a dó arís ar an sreabhadh céanna. Scartálann scriosadh comhlachais gach sreabhadh a úsáideann é, mar sin is beagnach i gcónaí níos fearr eagarthóireacht dhírithe agus athlódáil an linbh ná an staid a shruthlú le féachaint cad a tharlóidh.

Is é aischeartú eagarthóireachta roghnóra an beartas roimhe a athchóiriú agus é a athlódáil, agus an choinníoll ann go mb’fhéidir go mbeadh athrú comhfhreagrach ag teastáil ón gcomhghleacaí mura rud é go ndéantar an roghnóir a chaibidliú seachas a bheith áitiúil. Scríobh an spleáchas sin síos agus é úr, mar is deacra smaoineamh ar phéire atá leath-athchóirithe ná ar cheachtar den dá staid dheiridh.

Ar deireadh, coinnigh an scóip macánta. Cruthaíonn comhlachas ESP atá ag sreabhadh go bhfuil an dá gheata ag cosaint agus ag seachadadh na deighleog, agus ní deir sé faic faoi cé acu a dhéanann an feidhmchlár thíos a úsáideoirí a fhíordheimhniú nó a bhfuil á stóráil aige a chriptiú. Rialuithe ar leithligh iad sin le fianaise ar leithligh, agus ní bhíonn an runbook críochnaithe go dtí gur féidir leis an gcéad duine eile é a athrá ó na nótaí.