IPsec laistigh de IPsec: cé na seoltaí a chaithfidh an tollán seachtrach a iompar

Is fusa IPsec neadaithe a mheas nuair a chríochnaíonn an dá chiseal ar mheaisíní éagsúla. Ceithre gheata, dhá thollán agus aon cheist amháin a shocraíonn an n-oibríonn an dearadh: cad a fheiceann an tollán seachtrach i ndáiríre nuair a bhíonn an ceann inmheánach críochnaithe leis an bpaca? Freagair é sin agus leanfaidh na roghnóirí, na bealaí agus ord na réiteach fadhbanna. Déan dearmad air agus caithfidh tú lá ag dífhabhtú tolláin atá in airde go teicniúil.

An tsamhail ceithre gheata

Tógann na geataí seachtracha A agus B an chéad tollán idir an dá shuíomh. Taobh thiar de A tá geata inmheánach C le seoladh idirthurais 10.60.0.2; taobh thiar de B tá geata inmheánach D le seoladh idirthurais 10.70.0.2. Maireann na líonraí feidhmchláir taobh thiar de C agus D, agus tá gach seoladh san sampla d'aon ghnó neamh-fhorluiteach.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

Ciallaíonn sé na cisil a roinnt ar cheithre óstach go gcuireann gach meaisín teorainn amháin i bhfeidhm. Caithfidh aon óstach amháin a ritheann an dá chiseal dhá shraith beartas, dhá thábla bealaigh agus dhá mhód teipe a réiteach ar aon mheaisín amháin, rud atá indéanta agus i bhfad níos deacra a fheiceáil.

Ní bhaineann gach ciseal ach a chosaint féin

Criptíonn C paca feidhmchláir do D. Seoltar an toradh ó C go D, agus sin a shroicheann A. Braitheann gach rud thíos an srutha ar an athscríobh sin.

Criptíonn A arís é do B. Díshifríonn B an ciseal seachtrach, feiceann sé paca ó C go D agus seolann sé ar aghaidh é fós faoi chriptiú. Bainfidh D an chosaint inmheánach agus seachadann sé an paca feidhmchláir.

Mar sin feiceann A agus B na críochphointí inmheánacha agus a meiteashonraí, ach ní hiadsan na páirtithe a dhíshifríonn ualach feidhmchláir. Is maoin fíor den dearadh é sin agus ní éileamh go bhfuil C, D nó na hóstaigh feidhmchláir iontaofa.

Ainmníonn na roghnóirí seachtracha na geataí inmheánacha

Is anseo a theipeann ar an gcuid is mó de na tógálacha seo. Maidir le tollán seachtrach bunaithe ar bheartas, caithfidh na roghnóirí a chaibidlíonn tú na seoltaí a láimhseálann A agus B i ndáiríre a bheith iontu: 10.60.0.2/32 agus 10.70.0.2/32, san ord áitiúil agus cianda ceart.

Ní oibríonn sé foshríonta deiridh an fheidhmchláir a chur sna roghnóirí seachtracha, mar faoin am a shroicheann paca A, tá an t-ionchlaí inmheánach tar éis an rud a chaithfidh A a chosaint a athscríobh cheana féin. Ansin ní mheaitseálfadh an beartas seachtrach aon rud, agus thiocfadh an tollán suas gan aon sonraí a iompar.

Ná cúngaigh an cead seachtrach go UDP 500 ach an oiread. Tá a chonair sonraí féin ag an nasc inmheánach, a úsáideann ESP nó ionchlaí UDP ag brath ar an méid a chaibidil sé, agus caithfidh an beartas seachtrach an prótacal sin a cheadú.

Seiceáil an toradh le swanctl --list-sas ar gach geata agus deimhnigh go dtuairiscíonn na comhcheangail slándála linbh na seoltaí a bhí beartaithe agat, ní na cinn a ghlac tú leis. Má thaispeánann an liosta foshríonta an fheidhmchláir, scríobhadh an beartas seachtrach don chiseal mícheart. Ceartaigh na roghnóirí sula ndéanfaidh tú dífhabhtú ar an ródú, mar beidh an ródú ag breathnú go maith agus ní bhogfaidh na contóirí.

An t-aistriú agus gaiste an atarlaithe

Ní thagann roghnóirí in ionad ródaithe. Caithfidh A agus B trácht a aistriú idir C agus D sa dá threo, rud a chiallaíonn aistriú IP cumasaithe, bealaí a dhíríonn ar an tollán agus conair fillte atá ann ar an taobh eile.

Má úsáideann an tollán seachtrach comhéadain XFRM, roghnaíonn bealaí an comhéadan agus na beartais chaibidlithe fós ag cur srian ar a iompraíonn sé. Ní leathnaíonn comhéadan an rud atá cosanta; ní athraíonn sé ach an chaoi a dtógann an t-eithne an paca.

Is é an gaiste an t-atarlú. Caithfidh bealach A chuig críochphointe seachtrach B an t-íochtar a leanúint, ní an tollán atá á bhunú ag A, nó déanann an t-ionchlaí iarracht taisteal laistigh de féin agus ní chríochnaíonn an nasc riamh.

Scrúdaigh an t-aistriúchán sula gcuireann tú cisil leis

Féach ar aon NAT foinse ar A agus B sula ndéanann tú aon rud eile a thiúnadh. Is féidir le riail a athscríobhann seoladh C sula gcuirtear an beartas IPsec i bhfeidhm na roghnóirí comhaontaithe a bhriseadh, agus féadann sí freisin an rud a fhaigheann D ar an taobh eile a athrú.

Ní dhéantar an mhaisiú leathan níos sábháilte trí dhá chiseal a bheith ann. Folaíonn sé cé acu seoladh a fheiceann an taobh i bhfad i gcéin, agus sin go beacht an t-eolas a theastaíonn uait nuair atá an tollán in airde agus an feidhmchlár nach bhfuil.

Má tá gá i ndáiríre le riail NAT, scríobh síos cé acu seoladh a cheapann gach taobh a bhfuil sé ag caint leis. Réitíonn an líne amháin sin an chuid is mó de na díospóireachtaí faoi cé acu an tollán nó an t-aistriúchán atá ciontach. Insíonn sé freisin don chéad innealtóir eile cá féachaint nuair a bhaintear an riail bliain ina dhiaidh sin. Ní dhéanfaidh ping aon rud díobh sin.

Cruthaigh fail-closed agus seiceáil an MTU

Ní beartas fail-closed ann féin é bealach a imíonn as. Is féidir le tábla eile, bealach réamhshocraithe nó riail bheartais rogha eile a sholáthar go ciúin, agus is é an t-aon bhealach leis sin a fháil amach ná an tollán seachtrach a thógáil anuas agus féachaint cad a dhéanann trácht an fheidhmchláir. Déan é d'aon ghnó, i bhfuinneog, seachas é a aimsiú trí thimpiste.

Tástáil trí staid: tollán seachtrach síos, tollán inmheánach síos, agus téarnamh tar éis an dá cheann a theacht ar ais. Úsáid contóirí beartais ag gach geata, mar ní chruthaíonn dhá sheisiún IKE bunaithe ach go n-éirigh leis an gcaibidlíocht ar an bplána rialaithe.

Déan buiséad don dá ionchlaí. Is toradh pacaí beaga é IKE a oibríonn, agus is féidir le pacaí feidhmchláir lánmhéide teip fós nuair a chuirtear dhá cheanntásc leis; tástáil le méid ualaigh aithnid ar an gconair fhíor in ionad glacadh leis go suimíonn na huimhreacha. Tá an uimhríocht éasca, ní hea an chonair.