IPsec ESP: શું વહન કરે છે અને તે વહેતું છે તે કેવી રીતે સાબિત કરવું
ESP ટનલ મોડમાં આંતરિક IP પેકેટને લપેટે છે અને SPI દ્વારા તેની એસોસિએશન ઓળખે છે. સ્થિતિ વાંચો, પછી એક પ્રવાહ કાઉન્ટરોને કેવી રીતે ખસેડે છે તે જુઓ.
ESP IPsec VPN માં ટ્રાફિક વહન કરે છે, અને તેનું runbook એક નિયમથી શરૂ થાય છે: નીતિ બદલતા પહેલાં સિક્યોરિટી એસોસિએશન વાંચો. મોટાભાગનું અસ્પષ્ટ ESP વર્તન એવા સિલેક્ટર તરફ જાય છે જે મેળ ખાતું ન હતું, એવા મોડ તરફ જે વાંચવાને બદલે ધારવામાં આવ્યો હતો, અથવા એવા કાઉન્ટર તરફ જે એક જ પ્રવાહ મોકલાતો હતો ત્યારે કોઈએ તપાસ્યું ન હતું. નીચેનાં ત્રણ પગલાં નક્કી કરે છે કે શું શું વહન કરે છે, સાબિત કરે છે કે એક પ્રવાહ તેનો ઉપયોગ કરે છે, અને એવો રોલબેક છોડે છે જે સ્મૃતિ પર આધારિત નથી. દરેક પગલું એક અવલોકન આપે છે જે લખવા યોગ્ય છે.
વાંચતા પહેલાં ક્ષેત્રો જાણો
ESP સુરક્ષિત ડેટાની આગળ હેડર અને પાછળ ટ્રેલર મૂકે છે. હેડર સિક્યોરિટી પેરામીટર ઇન્ડેક્સ વહન કરે છે જે નક્કી કરે છે કે રિસીવર કઈ એસોસિએશન વાપરવી, પુનરાવર્તન શોધવા માટે ક્રમ નંબર, અને ટ્રેલરમાં પેડિંગ જે પેલોડને સાઇફર માટે સંરેખિત રાખે છે. ટ્રેલરમાં આગળના હેડરનું ક્ષેત્ર કહે છે કે સુરક્ષિત સામગ્રી શું છે, અને એ રીતે રિસીવર જાણે છે કે તેણે શું ડિકેપ્સ્યુલેટ કર્યું.
મોડ બદલે છે કે તે સુરક્ષાની અંદર શું બેસે છે. ટનલ મોડમાં સુરક્ષિત સામગ્રી સંપૂર્ણ આંતરિક IP પેકેટ છે, અને નવું બહારનું હેડર તેને બે છેડા વચ્ચે વહન કરે છે. ટ્રાન્સપોર્ટ મોડમાં સુરક્ષા હાલના પેકેટના ઉપલા સ્તરના પેલોડને લપેટે છે, તેથી ખોલવા માટે બીજું IP હેડર નથી. કયો મોડ વપરાય છે તે કન્ફિગરેશનની હકીકત છે, અર્થઘટનનો મુદ્દો નથી. તેને ડાયાગ્રામમાંથી અનુમાનિત કરવાને બદલે સ્થિતિ એન્ટ્રીમાંથી વાંચો.
બંનેમાંથી કોઈ મોડ બહારનું સરનામું છુપાવતું નથી જે પેકેટ પહોંચાડવું પડે. તે ડિઝાઇનની લાક્ષણિકતા છે, ખામી નથી, અને એટલે જ મધ્યવર્તી નિરીક્ષક હજી પણ જોઈ શકે છે કે કયાં બે સરનામાં વાત કરે છે, પેલોડ અસ્પષ્ટ હોય ત્યારે પણ.
પગલું એક: સ્થિતિ વાંચો, પછી નીતિ
સ્થિતિ એન્ટ્રીઓ કી અને કાઉન્ટર રાખે છે; નીતિ એન્ટ્રીઓ એ સિલેક્ટર રાખે છે જે નક્કી કરે છે કે કોને તેનો ઉપયોગ કરવાની છૂટ છે. Linux માં બંને પેકેટ કેપ્ચર વગર દેખાય છે, અને તે ક્રમમાં વાંચવાથી બે પ્રશ્નો અલગ રહે છે.
ip xfrm state
ip xfrm policyસ્થિતિ આઉટપુટમાં એસોસિએશનનું સ્રોત અને લક્ષ્ય, મોડ, અને એન્કેપ્સ્યુલેશન UDP પોર્ટ દર્શાવે છે કે નહીં તે તપાસો. તે પોર્ટનો અર્થ છે કે NAT ટ્રાવર્સલ વપરાય છે, જે બદલે છે કે મધ્યવર્તી ફાયરવોલે શું મંજૂર કરવું, પણ છેડાઓ પર કયા સિલેક્ટર કે કી લાગુ પડે છે તે નહીં.
પછી નીતિમાંના સિલેક્ટર વાંચો. જે સિલેક્ટર તમે પરીક્ષણ કરો છો તે ટ્રાફિક કરતાં સાંકડી પ્રીફિક્સ કહે છે તે જ સૌથી સામાન્ય કારણ છે કે કામ કરતું ટનલ પ્રવાહને અવગણતું લાગે, અને ખોટા પ્રોટોકોલનું સિલેક્ટર એ જ મૌન આપે છે.
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
વેન્ડર સાધનો એ જ માહિતી વધુ અનુકૂળ સ્વરૂપમાં છાપે છે. ipsec statusall strongSwan પર તે ચાઇલ્ડ એસોસિએશન, તેમના સિલેક્ટર અને બાઇટ કાઉન્ટરની સૂચિ આપે છે, જે ઘણી વાર કાચા xfrm આઉટપુટ વાંચવા કરતાં ઝડપી હોય છે જ્યારે તમે પહેલેથી જાણતા હો કે કઈ ચાઇલ્ડ જોવી.
પગલું બે: સાબિત કરો કે એક પ્રવાહ કાઉન્ટરોને ખસેડે છે
કાઉન્ટર અર્થપૂર્ણ છે જો તમે જાણો કે તેમને શું ખસેડવા જોઈતું હતું, તેથી એવો સ્રોત અને લક્ષ્ય પસંદ કરો જે સિલેક્ટર ચોક્કસ આવરી લે અને એક હાનિકારક વિનંતી મોકલો. પછી એ જ એન્ટ્રી ફરી વાંચો અને સરખાવો.
ip -s xfrm state
tcpdump -ni any espબે વાંચન જુદી વાર્તા કહે છે. જે પેકેટ બહારની બાજુ વધે છે પણ અંદરની બાજુ કદી નહીં, તે કીની સમસ્યાને બદલે ફોરવર્ડિંગ કે પરત માર્ગની સમસ્યા તરફ ઈશારો કરે છે, કારણ કે પેકેટ એન્કેપ્સ્યુલેટ થઈને ગયું. કોઈ કાઉન્ટર ન ખસે તો અર્થ છે ટ્રાફિક નીતિ સાથે કદી મેળ ખાયો નહીં, અને સિલેક્ટર એ જ જગ્યા છે જ્યાં જોવું.
એ જ પગલામાં કેપ્ચર વાયર પરનું એન્કેપ્સ્યુલેશન પુષ્ટિ કરે છે, જેમાં બહારના પેકેટ ESP છે કે UDP-એન્કેપ્સ્યુલેટેડ ESP તેનો પણ સમાવેશ થાય છે. તે તમને એ સરનામાં પણ બતાવે છે જે ખરેખર પ્રવાહ વહન કરતાં હતાં, અને તે ક્યારેક તમે વાંચતા હતા તે કન્ફિગરેશનમાંના કરતાં અલગ હોય છે.
પગલું ત્રણ: એક વસ્તુ બદલો અને રોલબેક રાખો
કંઈપણ સંપાદિત કરતા પહેલાં એસોસિએશનનું સ્રોત, લક્ષ્ય, મોડ, સિલેક્ટર અને કાઉન્ટર નોંધો. જો કોઈ ફેરફાર વસ્તુઓને વધુ ખરાબ કરે, તો એ જ રેકોર્ડ તમને અગાઉની સ્થિતિ પુનઃસ્થાપિત કરવા દે છે, અનુમાનમાંથી કામ કરતું કન્ફિગરેશન ફરી બનાવવાને બદલે. એ રેકોર્ડ લખવા એક મિનિટ લાગે છે અને પછી એક કલાક બચાવે છે. તે એ જ એકમાત્ર નિદર્શન છે જે ફેરફાર કરનાર વ્યક્તિ પછી ટકે છે.
એક સિલેક્ટર કે એક પરિમાણ બદલો, તેને ફરી લોડ કરો, અને એ જ પ્રવાહ પર પગલું બે પુનરાવર્તિત કરો. એસોસિએશન ડિલીટ કરવાથી તેનો ઉપયોગ કરતો દરેક પ્રવાહ તૂટે છે, તેથી લક્ષિત સંપાદન અને ચાઇલ્ડ ફરી લોડ કરવું લગભગ હંમેશા શું થાય તે જોવા સ્થિતિ ફ્લશ કરવા કરતાં સારું છે.
સિલેક્ટર સંપાદન માટે રોલબેક એ અગાઉની નીતિ પુનઃસ્થાપિત કરીને ફરી લોડ કરવી છે, એ ચેતવણી સાથે કે જો સિલેક્ટર સ્થાનિક ન હોય પણ વાટાઘાટિત હોય તો સામેના પક્ષને મેળ ખાતો ફેરફાર જોઈ શકે. એ નિર્ભરતા તાજી હોય ત્યારે જ લખો, કારણ કે અડધું પુનઃસ્થાપિત જોડ બેમાંથી કોઈ પણ અંતિમ સ્થિતિ કરતાં વિચારવું મુશ્કેલ છે.
અંતે, અવકાશ પ્રામાણિક રાખો. વહેતું ESP એસોસિએશન સાબિત કરે છે કે બે ગેટવે સેગમેન્ટને સુરક્ષિત કરે છે અને પહોંચાડે છે, અને તે કહેતું નથી કે ઉપરની એપ્લિકેશન તેના વપરાશકર્તાઓને પ્રમાણિત કરે છે કે જે સંગ્રહે છે તેને એન્ક્રિપ્ટ કરે છે. તે અલગ પુરાવા સાથેના અલગ નિયંત્રણો છે, અને runbook ત્યારે જ પૂરું થાય છે જ્યારે આગલી વ્યક્તિ નોંધમાંથી તેને પુનરાવર્તિત કરી શકે.