IPsec ESP: abin da yake ɗauka da yadda ake tabbatar da cewa yana gudana

ESP yana ɗaukar zirga-zirga a cikin VPN na IPsec, kuma runbook ɗinsa yana farawa da ƙa’ida ɗaya: karanta haɗin tsaro kafin ka canza manufa. Yawancin halayen ESP da ba a bayyana ba suna komawa ga zaɓi wanda bai dace ba, yanayi da aka ɗauka maimakon karantawa, ko mai ƙidaya wanda babu wanda ya duba yayin da ake aika hanya ɗaya. Matakai uku da ke ƙasa suna tabbatar da me ke ɗaukar me, suna tabbatar da cewa hanya ɗaya tana amfani da shi, kuma suna barin hanyar dawowa wadda ba ta dogara da ƙwaƙwalwa ba. Kowanne mataki yana ba da lura ɗaya da ta cancanci rubutawa.

San filaye kafin ka karanta su

ESP yana ajiye kan magana a gaban bayanan da aka kare da kuma wutsiya a bayansa. Kan magana yana ɗauke da ma’aunin siga na tsaro wanda ke nuna wace ƙungiya mai karɓa ya kamata ya yi amfani da ita, lambar jeri don gano maimaitawa, da kuma cikawa a wutsiya wanda ke riƙe kayan aiki a daidai don sirrin. Filin kan magana na gaba a wutsiya yana faɗin menene abin da aka kare, kuma haka mai karɓa ya san abin da ya buɗe.

Yanayin yana canza abin da ke cikin wannan kariyar. A yanayin rami, kayan da aka kare shine cikakken fakitin IP na ciki, kuma sabon kan magana na waje yana ɗaukarsa tsakanin ƙarshen biyu. A yanayin jigila, kariyar tana naɗe kayan aikin babban Layer na fakitin da ke akwai, don haka babu wani kan magana na IP na biyu da za a buɗe. Wane yanayi ake amfani da shi gaskiyar tsari ce, ba batun fassara ba. Karanta shi daga shigarwar yanayi maimakon ka kwatanta shi daga zane.

Babu ɗaya daga cikin yanayin biyu da ke ɓoye adireshin waje wanda dole ne ya isar da fakitin. Wannan siffa ce ta ƙira ba kasawa ba, kuma shi ya sa mai lura a tsakiya zai iya ganin wane adireshi biyu ke magana ko da kayan aiki ba a gani.

Mataki na ɗaya: karanta yanayin, sannan manufar

Shigarwar yanayi tana riƙe da maɓallai da masu ƙidaya; shigarwar manufa tana riƙe da zaɓuɓɓukan da ke yanke shawarar wanda zai iya amfani da su. A Linux duka biyu ana iya gani ba tare da kama fakitin ba, kuma karanta su a wannan tsari yana raba tambayoyin biyu.

ip xfrm state
ip xfrm policy

A fitarwar yanayi, duba tushe da manufar haɗin, yanayin, da ko naɗewa yana nuna tashoshin UDP. Waɗannan tashoshi suna nufin ana amfani da hanyar wucewa ta NAT, wanda ke canza abin da katangar wuta ta tsakiya dole ta yarda, amma ba wane zaɓi ko maɓalli ke aiki a ƙarshen biyu ba.

Sannan karanta zaɓuɓɓukan da ke cikin manufar. Zaɓin da ke ambaton gajeriyar hanyar da ta fi ƙarancin zirga-zirgar da kake gwadawa shine dalilin da ya fi yawa da yasa rami mai aiki yake kamar yana watsi da hanya, kuma zaɓi don ƙa’idar da ba daidai ba yana ba da wannan shiru.

Kayan aikin masana’anta suna buga wannan bayanin a siffa mafi sauƙi. ipsec statusall a strongSwan yana jera ƙananan ƙungiyoyi, zaɓuɓɓukansu da masu ƙidaya baiti, wanda sau da yawa ya fi sauri fiye da karanta fitarwar xfrm ɗanye lokacin da ka riga ka san wane yaro za ka duba.

Mataki na biyu: tabbatar da cewa hanya ɗaya tana motsa masu ƙidaya

Masu ƙidaya suna da ma’ana ne kawai idan ka san abin da ya kamata ya motsa su, don haka zaɓi tushe da manufa waɗanda zaɓin tabbas ya rufe sannan ka aika buƙata ɗaya marar lahani. Sannan karanta wannan shigarwa kuma kwatanta.

ip -s xfrm state
tcpdump -ni any esp

Karatu biyu suna ba da labarai daban-daban. Fakitin da ke ƙaruwa a gefen fita amma ba a gefen shiga ba suna nuna matsalar turawa ko hanyar dawowa maimakon matsalar maɓalli, domin an naɗe fakitin kuma ya tafi. Idan babu mai ƙidaya da ya motsa, zirga-zirgar bai taɓa dacewa da manufar ba, kuma zaɓin shine wurin da za a duba.

Kama a cikin wannan mataki yana tabbatar da naɗewa akan waya, ciki har da ko fakitin waje ESP ne ko ESP da aka naɗe a UDP. Hakanan yana nuna maka adireshin da suka ɗauki hanyar da gaske, kuma waɗannan wasu lokuta sun bambanta da waɗanda ke cikin tsarin da kake karantawa.

Mataki na uku: canza abu ɗaya ka riƙe hanyar dawowa

Rubuta tushe, manufa, yanayi, zaɓuɓɓuka da masu ƙidaya na haɗin kafin ka gyara wani abu. Idan canji ya ƙara muni, wannan rikodin ne zai ba ka damar dawo da yanayin da ya gabata maimakon sake gina tsarin aiki daga zato. Wannan rikodin yana ɗaukar minti ɗaya a rubuta kuma yana ceton awa ɗaya daga baya. Shi ne kuma kawai kayan tarihi da ke wanzuwa bayan mutumin da ya yi canjin.

Canza zaɓi ɗaya ko siga ɗaya, sake loda shi, sannan sake mataki na biyu akan wannan hanya. Share haɗi yana rushe duk hanyar da ke amfani da shi, don haka gyara mai niyya da sake loda yaron kusan koyaushe ya fi zubar da yanayi don ganin abin da zai faru.

Dawowa don gyara zaɓi shine maido da manufar da ta gabata da sake loda ta, tare da tsammanin cewa abokin na iya buƙatar canji daidai idan an tattauna zaɓin maimakon na gida. Rubuta wannan dogaro tun yana sabo, domin ma’aurata da aka dawo da rabi yana da wahalar yin tunani akai fiye da kowane ɗaya daga cikin yanayin ƙarshe biyu.

A ƙarshe, riƙe iyakar da gaskiya. Haɗin ESP mai gudana yana tabbatar da cewa ƙofofin biyu suna karewa da isar da sashin, kuma ba ya faɗin komai game da ko aikace-aikacen da ke sama yana tabbatar da masu amfani da shi ko yana ɓoye abin da yake adanawa. Waɗannan kulake ne daban tare da hujjoji daban, kuma runbook yana ƙarewa ne kawai lokacin da mutum na gaba zai iya maimaita shi daga bayanan.