Conas a oibríonn IPsec bealach-bhunaithe le comhéadan XFRM

Tugann IPsec bealach-bhunaithe cinneadh don tábla ródaithe a dhéanadh roghnóirí beartais roimhe seo. Ar Linux is é an píosa a fhágann gur féidir é seo comhéadan XFRM: gléas fíorúil a ndéantar a thrácht a mheaitseáil le staid IPsec trí aitheantóir comhéadain seachas trí roghnóir. Tógann sé aon ordú amháin ceann a chruthú agus ní chruthaíonn sé aon rud faoi cé acu a bhfuil tollán ann. Is crúca é an gléas idir ródú agus beartas slándála, agus caithfear an dá thaobh den chrúca sin a chumrú sula gcosnaítear aon rud.

Cad é an gléas agus cad nach ea

Is hanla ródaithe é comhéadan XFRM. Déantar pacáistí a ródáiltear isteach ann a mheaitseáil le beartais XFRM a thagraíonn don aitheantóir comhéadain céanna, agus má tá beartas agus staid ann, déantar iad a ionchochlú. Gan iad sin tá an comhéadan ann, fanann na háirimh ina stad, agus téann an trácht áit éigin nach bhfuil úsáid ann.

Sin an chéad scaradh diagnóiseach. Is fíric ródaithe é bealach isteach sa ghléas, is fíric slándála é staid suiteáilte, agus ní ceachtar acu é áireamh atá ag ardú ar an ngléas. Nuair a deir daoine go bhfuil an tollán suas mar go dtaispeánann an comhéadan UP, tá siad ag cur síos ar bhratacha naisc gléis fhíorúil nach bhfuil a phéire féin aige. Ciallaíonn an bhratach go ndearnadh an gléas a chruthú agus a chumasú, agus ní rud ar bith eile.

Teorainn amháin eile: ní ainm é an t-aitheantóir comhéadain. Ní roinneann dhá ghléas a bhfuil ainmneacha cosúla agus aitheantóirí éagsúla acu staid, agus suiteálann nasc a chumraítear leis an aitheantóir micheart staid nach n-úsáidfidh aon bhealach go deo.

Tóg ceann san ord ceart

Tosaigh leis an ngléas seachtrach agus uimhir a chuirfidh tú sa chumraíocht daemon freisin. Úsáideann an sampla eth0 mar chomhéadan seachtrach agus 42 mar aitheantóir, seoltaí a mba chóir duit do chinn féin a chur ina n-ionad.

Ardaigh an gléas, ansin deimhnigh an t-aitheantóir a thaifead an t-eithne sula dteagmháil tú leis an gcumraíocht VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Anois cumraigh an nasc i strongSwan leis an aitheantóir céanna, ós rud é go gcaithfidh an daemon beartais agus staideanna a shuiteáil a thagraíonn dó. Socraigh na roghnóirí tráchta áitiúla agus cianda chuig an raon a bhfuil sé ar intinn agat a ródáil, ansin ródáil an raon sin isteach sa ghléas. Caithfidh cumraíocht an daemon agus an tábla ródaithe a bheith ar aon intinn faoin aitheantóir agus faoi na cinn scríbe araon, agus ní sholáthraíonn ceachtar acu an ceann eile.

Coinnigh IKE agus ESP amach as bealach an tolláin

Glacann bealach réamhshocraithe a dhíríonn isteach sa ghléas XFRM na pacáistí ionchochlaithe chomh maith leis an trácht a iompraíonn siad. Is lúb an toradh: déanann an geata iarracht a ESP féin a sheoladh tríd an tollán ar cheart do ESP a thógáil.

Is é an réiteach bealach níos sainiúla do sheoladh seachtrach an phéire tríd an gcomhéadan fisiciúil, a sháraíonn an réamhshocrú mar go meaitseálann sé níos mó giotán. Déanann ródú marc-bhunaithe an obair chéanna nuair a roinneann roinnt tollán tábla amháin, agus déanann strongSwan an dá chur chuige a dhoiciméadú d'imlonnuithe bealach-bhunaithe.

Cibé rud a roghnaíonn tú, fíoraigh go n-imeoidh an pacáiste seachtrach gan ionchochlú. Seiceáil thapa is ea ping a sheoladh chuig seoladh seachtrach an phéire tar éis an tollán a ardú; má theipeann air sin agus an comhéadan suas, bíodh amhras ort faoi ghabháil seachas inrochtaineacht. Tá an réasúnaíocht chéanna i bhfeidhm ar an bport IKE, mar ní cheart trácht UDP an daemon féin a ródáil isteach sa ghléas a bhfuil sé ag iarraidh a bhunú.

Seiceáil na háirimh in dhá áit sula gcuireann tú an milleán ar an gcriptiú

Tomhaiseann áirimh comhéadain agus áirimh staid chéimeanna éagsúla. Méadaíonn pacáistí a ródáiltear isteach sa ghléas an gléas fiú nuair nach meaitseálann aon staid, agus ní ghluaiseann áirimh staid ach amháin do thrácht a ionchochlaíodh i ndáiríre.

Léigh an dá rud, ansin léigh dearcadh an daemon ar an gcomhcheangal linbh:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Ciallaíonn áirimh ghléis ag ardú le haschur staid folamh go n-oibríonn ródú agus nach meaitseálann an beartas, earráid aitheantóra nó roghnóra de ghnáth. Ciallaíonn áirimh staid ag ardú agus an taobh cianda ag tuairisciú rud ar bith go bhfágann na pacáistí ach nach sroicheann siad nó go dteipeann an fhíordheimhniú orthu, rud a dhíríonn ar an gcosán nó ar chumraíocht an phéire. Is fadhb roghnóra ag ceann amháin é comhcheangal linbh liostaithe gan trácht, ní sifir bhriste.

Socraigh cé a shuiteálann na bealaí

Is iad dhá úinéir ar aon tábla ródaithe an fhoinse is gnáthúla le flapáil. Má shuiteálann an daemon bealaí go huathoibríoch, ní mór do do bhainisteoir líonra gan bealach réamhshocraithe a shuiteáil tríd an ngléas céanna freisin, agus bainfear bealach láimhe a chuireann script tosaithe leis an chéad uair eile a athchumraíonn an daemon.

Roghnaigh aon úinéir amháin agus scríobh síos é. Nuair is leis an daemon na bealaí, coinnigh an script tosaithe amach as an tábla agus lig do shainmhíniú an naisc cur síos a dhéanamh ar na roghnóirí tráchta. Nuair is leis an mbainisteoir líonra iad, díchumasaigh an suiteáil uathoibríoch agus glac leis nach ndeiseoidh an daemon bealach atá ar iarraidh nuair a athnascann sé.

Is cinneadh ar leithligh é rialacha seolta agus balla dóiteáin os a chionn sin, mar tá an dá rud ag teastáil ó gheata a thugann trácht óstach eile tríd. Déanann IPsec bealach-bhunaithe an trácht sin éasca le cur in iúl le huirlisí ródaithe gnáthúla; ní dhéanann sé an tsraith bheartais roghnach.