રૂટ-આધારિત IPsec XFRM ઇન્ટરફેસ સાથે કેવી રીતે કાર્ય કરે છે

રૂટ-આધારિત IPsec રૂટિંગ ટેબલને એવો નિર્ણય સોંપે છે જે પહેલાં પોલિસી સિલેક્ટર લેતા હતા. Linux પર આ શક્ય બનાવતો ભાગ XFRM ઇન્ટરફેસ છે: એક વર્ચ્યુઅલ ઉપકરણ જેનો ટ્રાફિક સિલેક્ટરને બદલે ઇન્ટરફેસ ઓળખાંક દ્વારા IPsec સ્થિતિ સાથે મેળવવામાં આવે છે. એક બનાવવા માટે એક જ આદેશ જોઈએ છે અને તે ટનલ છે કે નહીં તે કંઈ સાબિત કરતું નથી. ઉપકરણ રૂટિંગ અને સુરક્ષા પોલિસી વચ્ચેનો હૂક છે, અને કંઈપણ સુરક્ષિત થાય તે પહેલાં તે હૂકની બંને બાજુ ગોઠવવી પડે.

ઉપકરણ શું છે અને શું નથી

XFRM ઇન્ટરફેસ એ રૂટિંગ હેન્ડલ છે. તેમાં રૂટ થતા પેકેટ સમાન ઇન્ટરફેસ ઓળખાંકનો ઉલ્લેખ કરતી XFRM પોલિસીઓ સાથે મેળવવામાં આવે છે, અને જો પોલિસી અને સ્થિતિ બંને હોય તો તેમને એન્કેપ્સ્યુલેટ કરવામાં આવે છે. તેમના વિના ઇન્ટરફેસ રહે છે, કાઉન્ટર સ્થિર રહે છે, અને ટ્રાફિક કોઈ કામના સ્થળે જતો નથી.

આ પહેલું નિદાનાત્મક વિભાજન છે. ઉપકરણમાં જતો રૂટ એ રૂટિંગ હકીકત છે, સ્થાપિત સ્થિતિ એ સુરક્ષા હકીકત છે, અને ઉપકરણ પર વધતું કાઉન્ટર એ બેમાંથી કંઈ નથી. જ્યારે લોકો કહે છે કે ટનલ ઉપર છે કારણ કે ઇન્ટરફેસ UP દેખાય છે, ત્યારે તેઓ એવા વર્ચ્યુઅલ ઉપકરણના લિંક ફ્લેગ વર્ણવે છે જેનો પોતાનો સાથી નથી. ફ્લેગનો અર્થ છે કે ઉપકરણ બન્યું અને સક્ષમ થયું, વધુ નહીં.

બીજી એક સીમા: ઇન્ટરફેસ ઓળખાંક નામ નથી. સમાન નામ અને જુદા ઓળખાંકવાળા બે ઉપકરણ સ્થિતિ વહેંચતા નથી, અને ખોટા ઓળખાંક સાથે ગોઠવાયેલું કનેક્શન એવી સ્થિતિ સ્થાપિત કરે છે જેનો કોઈ રૂટ ક્યારેય ઉપયોગ કરશે નહીં.

યોગ્ય ક્રમમાં એક બનાવો

બાહ્ય ઉપકરણ અને એક સંખ્યાથી શરૂ કરો જે તમે ડેમન રૂપરેખાંકનમાં પણ મૂકશો. ઉદાહરણ બાહ્ય ઇન્ટરફેસ તરીકે eth0 અને ઓળખાંક તરીકે 42 વાપરે છે, જે સરનામાં તમારા પોતાના સાથે બદલવા જોઈએ.

ઉપકરણ ઉપર કરો, પછી VPN રૂપરેખાંકનને સ્પર્શ કરતાં પહેલાં કર્નલે નોંધેલા ઓળખાંકની પુષ્ટિ કરો:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

હવે strongSwan માં તે જ ઓળખાંક સાથે કનેક્શન ગોઠવો, કારણ કે ડેમનને તેનો ઉલ્લેખ કરતી પોલિસીઓ અને સ્થિતિઓ સ્થાપિત કરવી પડે. સ્થાનિક અને દૂરના ટ્રાફિક સિલેક્ટરને તમે રૂટ કરવા માંગતા રેન્જ પર સેટ કરો, પછી તે રેન્જને ઉપકરણમાં રૂટ કરો. ડેમન રૂપરેખાંકન અને રૂટિંગ ટેબલને ઓળખાંક અને લક્ષ્યો બંને પર સહમત થવું પડે, અને એક બીજાને પૂરું પાડતું નથી.

IKE અને ESP ને ટનલ રૂટની બહાર રાખો

XFRM ઉપકરણમાં દોરતો ડિફોલ્ટ રૂટ એન્કેપ્સ્યુલેટેડ પેકેટ અને તે જે ટ્રાફિક વહન કરે છે તે બંનેને પકડે છે. પરિણામ લૂપ છે: ગેટવે પોતાનું ESP એ ટનલ દ્વારા મોકલવાનો પ્રયાસ કરે છે જે ESP એ બનાવવાની હોય છે.

ઉકેલ છે સાથીના બાહ્ય સરનામા માટે વધુ વિશિષ્ટ રૂટ ભૌતિક ઇન્ટરફેસ દ્વારા, જે ડિફોલ્ટને હરાવે છે કારણ કે તે વધુ બિટ મેળ ખાય છે. જ્યારે ઘણી ટનલ એક ટેબલ વહેંચે છે ત્યારે માર્ક-આધારિત રૂટિંગ એ જ કામ કરે છે, અને strongSwan રૂટ-આધારિત ડિપ્લોયમેન્ટ માટે બંને અભિગમોનું દસ્તાવેજીકરણ કરે છે.

તમે શું પસંદ કરો તે ધ્યાનમાં ન રાખતાં, ચકાસો કે બાહ્ય પેકેટ એન્કેપ્સ્યુલેશન વિના નીકળે છે. ઝડપી તપાસ એ છે કે ટનલ ઉપર આવ્યા પછી સાથીના બાહ્ય સરનામા પર પિંગ કરો; જો ઇન્ટરફેસ ઉપર હોવા છતાં તે નિષ્ફળ જાય, તો પહોંચ કરતાં પકડાવાની શંકા કરો. એ જ તર્ક IKE પોર્ટને લાગુ પડે છે, કારણ કે ડેમનનો પોતાનો UDP ટ્રાફિક જે ઉપકરણ તે સ્થાપિત કરવા માંગે છે તેમાં રૂટ થવો ન જોઈએ.

એન્ક્રિપ્શનને દોષ આપતાં પહેલાં બે જગ્યાએ કાઉન્ટર તપાસો

ઇન્ટરફેસ કાઉન્ટર અને સ્થિતિ કાઉન્ટર જુદા તબક્કા માપે છે. ઉપકરણમાં રૂટ થતા પેકેટ કોઈ સ્થિતિ ન મળે તો પણ ઉપકરણનું કાઉન્ટર વધારે છે, જ્યારે સ્થિતિ કાઉન્ટર ફક્ત એ ટ્રાફિક માટે હલે છે જે ખરેખર એન્કેપ્સ્યુલેટ થયો હતો.

બંને વાંચો, પછી ચાઇલ્ડ એસોસિએશન વિશે ડેમનનું દૃશ્ય વાંચો:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

સ્થિતિ આઉટપુટ ખાલી હોવા છતાં ઉપકરણ કાઉન્ટર વધવાનો અર્થ એ છે કે રૂટિંગ કામ કરે છે અને પોલિસી મેળ ખાતી નથી, સામાન્ય રીતે ઓળખાંક કે સિલેક્ટરની ભૂલ. દૂરની બાજુ કંઈ જાહેર ન કરે ત્યારે સ્થિતિ કાઉન્ટર વધવાનો અર્થ એ છે કે પેકેટ નીકળે છે પણ પહોંચતા નથી અથવા પ્રમાણીકરણમાં નિષ્ફળ જાય છે, જે માર્ગ કે સાથી રૂપરેખાંકન તરફ ઇશારો કરે છે. શૂન્ય ટ્રાફિકવાળું સૂચિબદ્ધ ચાઇલ્ડ એ એક છેડે સિલેક્ટરની સમસ્યા છે, તૂટેલું સાઇફર નહીં.

રૂટ કોણ સ્થાપિત કરશે તે નક્કી કરો

એક રૂટિંગ ટેબલ માટે બે માલિક સામાન્ય રીતે ફ્લેપિંગનો સ્રોત છે. જો ડેમન આપમેળે રૂટ સ્થાપિત કરે, તો તમારા નેટવર્ક મેનેજરે પણ તે જ ઉપકરણ દ્વારા ડિફોલ્ટ રૂટ સ્થાપિત કરવો ન જોઈએ, અને સ્ટાર્ટઅપ સ્ક્રિપ્ટે ઉમેરેલો મેન્યુઅલ રૂટ ડેમન આગલી વખતે ફરી ગોઠવાય ત્યારે દૂર થશે.

એક માલિક પસંદ કરો અને તે લખો. જ્યારે રૂટનો માલિક ડેમન હોય, ત્યારે સ્ટાર્ટઅપ સ્ક્રિપ્ટને ટેબલની બહાર રાખો અને કનેક્શન વ્યાખ્યાને ટ્રાફિક સિલેક્ટર વર્ણવવા દો. જ્યારે નેટવર્ક મેનેજર માલિક હોય, ત્યારે આપમેળે સ્થાપન બંધ કરો અને સ્વીકારો કે ફરી જોડાણ વખતે ડેમન ખૂટતો રૂટ સુધારશે નહીં.

ફોરવર્ડિંગ અને ફાયરવોલ નિયમો તેની ઉપર અલગ નિર્ણય છે, કારણ કે બીજા હોસ્ટનો ટ્રાફિક પસાર કરતા ગેટવેને બંને જોઈએ. રૂટ-આધારિત IPsec સામાન્ય રૂટિંગ સાધનોથી તે ટ્રાફિક વ્યક્ત કરવાનું સરળ બનાવે છે; તે પોલિસી સ્તરને વૈકલ્પિક બનાવતું નથી.