ઘરના રાઉટર પર IPsec પાસ-થ્રુ: તે ખરેખર શું કરે છે

રાઉટરના પાસ-થ્રુ સ્વિચ તેમની પાછળના ઉપકરણ માટે ફોરવર્ડિંગ રાહતો છે, VPN સેવાઓ નહીં. તે રાઉટરને ક્લાયન્ટ તરીકે નોંધતા નથી, ઓળખપત્રો રાખતા નથી અને ઘરના દરેક ઉપકરણને દૂરના આઉટલેટમાંથી પસાર કરતા નથી. તે જે કરે છે તે એ છે કે એક પ્રોટોકોલ કેવી રીતે સરનામાં અનુવાદ અને ફિલ્ટરોને પાર કરે છે તે આકાર આપે છે. જ્યારે તે સ્પષ્ટ થાય, ત્યારે સ્વિચનું પરીક્ષણ કરવું સરળ અને તેને બંધ રાખવું પણ સરળ બને છે.

રાઉટર ખરેખર શું કરે છે

રાઉટર ક્લાયન્ટ અને IPsec સાથીની વચ્ચે બેસે છે અને એવા પેકેટ ફોરવર્ડ કરે છે જે સમજવા માટે તે ક્યારેય રચાયું નહોતું. ઉત્પાદકો આ સુવિધા ઓછામાં ઓછી ત્રણ રીતે અમલમાં મૂકે છે: સ્થિતિ ટ્રેક કરતો કે ફરી લખતો પ્રોટોકોલ સહાયક, ESP ફેંકવાનું બંધ કરતો ફિલ્ટર અપવાદ, અથવા જૂના ક્લાયન્ટ માટેનો સુસંગતતા મોડ. વેબ ઇન્ટરફેસનું લેબલ ભાગ્યે જ કહે છે કે તમારી પાસે ત્રણમાંથી કયું છે. ફક્ત ફર્મવેર નોંધો અથવા પેકેટ કેપ્ચર જ તે કહેશે.

સહાયક વસ્તુઓને વધુ ખરાબ પણ કરી શકે છે. જૂની ફ્લો માટે લખાયેલી સહાય ક્યારેક એવા ક્લાયન્ટમાં દખલ કરે છે જે અનુવાદને પહેલેથી યોગ્ય રીતે સંભાળે છે. જ્યારે આધુનિક ક્લાયન્ટ વિકલ્પ બંધ રાખીને કામ કરે છે, ત્યારે તેને બંધ રાખવું વધુ સારું ગોઠવણ છે.

પાસ-થ્રુ ક્યારેય રાઉટરને સાથીઓની ચાવીઓ આપતું નથી. તે હજી પણ બાહ્ય સરનામાં અને પોર્ટ જુએ છે, અને હજી પણ તેના પર પોતાની ફોરવર્ડિંગ નીતિ લાગુ કરે છે.

NAT અને NAT-T માર્ગ નક્કી કરે છે

IPsec સરનામાં અનુવાદમાં ટકી રહેવા માટે બનાવાયું નહોતું, તેથી ધોરણોએ એક આવરણ ઉમેર્યું. NAT ટ્રાવર્સલ ESP ને UDP ની અંદર સમાવે છે, જેથી સામાન્ય NAT કોષ્ટક પ્રવાહ વહન કરી શકે, અને વાટાઘાટ IKE દરમિયાન તે સ્વિચ પર સંમત થાય છે (RFC 3948). IKE પોતે UDP 500 વાપરે છે, જ્યારે આવરિત માર્ગ સામાન્ય રીતે UDP 4500 વાપરે છે.

તેથી ફક્ત પ્રોટોકોલ 50 ને મંજૂરી આપતો ફાયરવોલ નિયમ અનુવાદિત માર્ગ પર પૂરતો નથી. 4500 અવરોધવાથી જે કેસ માટે આવરણ અસ્તિત્વમાં છે તે તૂટે છે, અને 500 અવરોધવાથી કોઈ પણ ટનલ બનતા પહેલા વાટાઘાટ અટકે છે. બંને દિશાઓ મહત્વપૂર્ણ છે, કારણ કે સ્થિતિ-જાગૃત રાઉટર સામાન્ય રીતે વિનંતી જોયા પછી જ જવાબને મંજૂરી આપે છે. પોર્ટ સુધી પહોંચવું એ પ્રમાણીકરણ પૂરું કરવા સમાન નથી, અને સુરક્ષિત ટ્રાફિક ફોરવર્ડ કરવા સમાન પણ નથી.

જૂની ગોઠવણો એટલી અલગ છે કે તેમના માટે લખાયેલી માર્ગદર્શિકા ભ્રામક બની શકે. જ્યારે ક્લાયન્ટ બંને મોડ ઓફર કરે છે, ત્યારે વધુ શોધ પરિણામોવાળાને નહીં, તમારો સાથી જેનું દસ્તાવેજીકરણ કરે છે તેનું પરીક્ષણ કરો.

નિષ્ફળ તબક્કો શોધો

સમસ્યાને વાટાઘાટ, પ્રમાણીકરણ, બાળ સંરક્ષણ અને આંતરિક ફોરવર્ડિંગમાં વિભાજિત કરો, પછી એક સમયે એક તબક્કા માટે પુરાવા એકઠા કરો. પરિણામને અસ્થાયી રૂપે બદલતું રીબૂટ ફક્ત એ સાબિત કરે છે કે કોઈ સ્થિતિ સંકળાયેલી હતી.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

કેપ્ચર દર્શાવે છે કે વિનિમય સાથી સુધી પહોંચે છે કે નહીં અને જવાબો પાછા આવે છે કે નહીં, જે ફિલ્ટર સમસ્યાને ઓળખપત્ર સમસ્યાથી અલગ પાડે છે. સ્થિતિની યાદી સ્થાપિત સુરક્ષા સંગઠનો દર્શાવે છે, તેથી પ્રયાસ પછીની ખાલી યાદી રૂટિંગને બદલે વાટાઘાટ તરફ ઇશારો કરે છે. નીતિની યાદી દર્શાવે છે કે કયા સિલેક્ટર સ્થાપિત છે, અને ત્યાં જ સબનેટની બહારનું લક્ષ્ય બાકાત રહે છે. રાઉટરને સ્પર્શ કરતા પહેલા xfrm ના બંને આઉટપુટ વાંચો, કારણ કે તે રાઉટર શું મંજૂરી આપે છે તે નહીં, યજમાન શું માને છે તે વર્ણવે છે.

જો પેકેટ નીકળી જાય અને કંઈ પાછું ન આવે, તો કેપ્ચરને રાઉટરની WAN બાજુ પર ખસેડો. બંને કેપ્ચરની સરખામણી અનુમાન વિના ડ્રોપનું સ્થાન નક્કી કરે છે.

જેની જરૂર નથી તે બંધ કરો

એક કામ કરતું લેપટોપ સાબિત કરતું નથી કે રાઉટર એકસાથે ઘણા ક્લાયન્ટ સંભાળે છે. દરેક ક્લાયન્ટ પોતાની અનુવાદ સ્થિતિ અને પોતાની વાટાઘાટ બનાવે છે, અને કેટલાક સહાયક ફક્ત એક પ્રવાહને અનુસરે છે. તમને ખરેખર જેટલા એકસાથે સત્રોની જરૂર છે તે તમે ખરેખર વાપરો છો તે નેટવર્કમાંથી પરીક્ષણ કરો. જો પહેલો ફૂલે-ફાલે ત્યારે બીજો ક્લાયન્ટ નિષ્ફળ જાય, તો તે શોધ છે, અસ્થિર ટનલ નહીં.

વિકલ્પને ફક્ત ત્યારે ચાલુ રાખો જ્યારે કેપ્ચર દર્શાવે કે તેની જરૂર છે. પરિણામની બાજુમાં ફર્મવેર સંસ્કરણ નોંધો, કારણ કે આ વર્તન અવૃત્તિઓ વચ્ચે બદલાય છે. ધ્યેય તમે ચકાસેલી ક્લાયન્ટ ટનલ છે, આશાથી ચાલુ કરેલું સ્વિચ નહીં.