IPsec a cikin IPsec: waɗanne adireshi ne tunnel na waje ya kamata ya ɗauka

IPsec mai nested yana da sauƙin yin tunani akai lokacin da matakan biyu suka ƙare a na'urori daban-daban. Ƙofofi huɗu, tunnels biyu, da tambaya ɗaya da ke yanke shawarar ko tsarin zai yi aiki: me tunnel na waje yake gani da gaske lokacin da na ciki ya gama da fakitin? Amsa wannan sai masu zaɓe, hanyoyi da tsarin warware matsala su biyo. Idan ka yi kuskure za ka shafe yini ɗaya kana gyara tunnel da a zahiri yana aiki.

Tsarin ƙofofi huɗu

Ƙofofin waje A da B suna gina tunnel na farko tsakanin rukunin biyu. Bayan A akwai ƙofar ciki C da adireshin wucewa 10.60.0.2; bayan B akwai ƙofar ciki D da adireshin wucewa 10.70.0.2. Cibiyoyin sadarwar aikace-aikacen suna bayan C da D, kuma kowane adireshi a misalin da gangan ba ya haɗuwa.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

Raba matakan a kan na'urori huɗu yana nufin kowace na'ura tana aiwatar da iyaka ɗaya. Na'ura ɗaya da ke gudanar da matakan biyu dole ta daidaita jerin manufofi biyu, allunan hanya biyu da hanyoyin gazawa biyu a kan na'ura ɗaya, abin da zai yiwu kuma ya fi wuya a lura.

Kowane mataki yana cire kariyar kansa kawai

C yana ɓoye fakitin aikace-aikace domin D. Sakamakon an yi masa adireshi daga C zuwa D, kuma shi ne ke isa A. Duk abin da ke ƙasa ya dogara da wannan sake rubutun.

A yana sake ɓoye shi domin B. B yana buɗe matakin waje, yana ganin fakiti daga C zuwa D kuma yana tura shi har yanzu a ɓoye. D yana cire kariyar ciki kuma yana isar da fakitin aikace-aikacen.

Don haka A da B suna ganin ƙarshen ciki da bayanansu, amma ba su ne ɓangarorin da ke buɗe kayan aikin aikace-aikacen ba. Wannan ainihin sifa ce ta tsarin, ba da'awar cewa C, D ko na'urorin aikace-aikacen abin dogaro ne ba.

Masu zaɓe na waje suna ambaton ƙofofin ciki

A nan ne yawancin waɗannan gine-gine ke gazawa. Domin tunnel na waje mai tushen manufa, masu zaɓen da kuke tattaunawa dole su ƙunshi adireshin da A da B ke sarrafawa da gaske: 10.60.0.2/32 da 10.70.0.2/32, a cikin ingantaccen tsarin gida da na nesa.

Sanya subnet ɗin aikace-aikacen na ƙarshe a cikin masu zaɓe na waje ba ya aiki, domin lokacin da fakiti ya isa A, ɓoyewar ciki ta riga ta sake rubuta abin da A dole ya kare. Sa'an nan manufar waje ba za ta dace da komai ba, kuma tunnel zai tashi ba tare da ɗaukar bayanai ba.

Kada ka taƙaita izinin waje zuwa UDP 500. Haɗin ciki yana da hanyar bayanai ta kansa, wadda ke amfani da ESP ko ɓoyewar UDP dangane da abin da ya tattauna, kuma manufar waje dole ta yarda da wannan ka'idar.

Duba sakamakon da swanctl --list-sas a kowace ƙofa kuma tabbatar cewa ƙungiyoyin tsaro na yara suna ba da adireshin da kuka yi niyya, ba waɗanda kuka ɗauka ba. Idan jerin ya nuna subnet ɗin aikace-aikacen, an rubuta manufar waje don matakin da ba daidai ba. Gyara masu zaɓe kafin ka gyara hanyar sadarwa, domin hanyar za ta yi kyau kuma masu ƙidaya ba za su motsa ba.

Turawa da tarkon maimaitawa

Masu zaɓe ba sa maye gurbin hanyar sadarwa. A da B dole su tura zirga-zirga tsakanin C da D a duk kwatance biyu, wanda ke nufin an kunna turawar IP, hanyoyin da ke nuni ga tunnel, da hanyar dawowa da ke akwai a wancan gefen.

Idan tunnel na waje yana amfani da mu'amaloli na XFRM, hanyoyi suna zaɓar mu'amalar yayin da manufofin da aka tattauna har yanzu suna iyakance abin da take ɗauka. Mu'amala ba ta faɗaɗa abin da ake karewa ba; tana canza yadda kernel ke ɗaukar fakitin kawai.

Tarkon shine maimaitawa. Hanyar A zuwa ƙarshen waje na B dole ta bi ƙasan hanyar sadarwa, ba tunnel ɗin da A ke kafawa ba, in ba haka ba ɓoyewar tana ƙoƙarin tafiya cikin kanta kuma haɗin ba ya ƙarewa.

Bincika fassarar kafin ƙara matakai

Duba duk wani NAT na tushe a A da B kafin ka daidaita wani abu. Dokar da ke sake rubuta adireshin C kafin manufar IPsec ta yi aiki na iya karya masu zaɓen da aka amince da su, kuma tana iya canza abin da D ke karɓa a wancan gefen.

Faɗaɗɗen ɓoyewa ba ya zama mafi aminci saboda matakai biyu. Yana ɓoye wane adireshi ne gefen nesa ke gani, kuma wannan shine ainihin bayanin da kuke buƙata lokacin da tunnel yana aiki amma aikace-aikacen ba ya aiki.

Idan dokar NAT tana da mahimmanci da gaske, rubuta wane adireshi kowane gefe yake tsammanin yana magana da shi. Wannan layi ɗaya yana warware yawancin muhawara kan ko tunnel ne ko fassarar ke da laifi. Hakanan yana gaya wa injiniyan na gaba inda zai duba lokacin da aka cire dokar shekara ɗaya bayan haka. Ping ba zai yi kome daga ciki ba.

Tabbatar da fail-closed kuma duba MTU

Bacewar hanya ba ita kaɗai ce manufar fail-closed ba. Wani tebur, hanyar tsoho ko dokar manufa na iya samar da mafita cikin nutsuwa, kuma hanyar da za a sani ita ce a saukar da tunnel na waje a lura da abin da zirga-zirgar aikace-aikacen ke yi. Yi hakan da gangan, a cikin taga, maimakon gano shi bisa kuskure.

Gwada yanayi uku: tunnel na waje a ƙasa, tunnel na ciki a ƙasa, da murmurewa bayan dukansu sun dawo. Yi amfani da masu ƙididdigar manufa a kowace ƙofa, domin zaman IKE biyu da aka kafa suna tabbatar da cewa tattaunawar matakin sarrafawa ta yi nasara kawai.

Yi kasafin kuɗi don ɓoyewa biyu. IKE mai aiki sakamakon ƙananan fakiti ne, kuma fakitin aikace-aikace masu cikakken girma na iya gazawa har yanzu da zarar an ƙara kawuna biyu; gwada da sanannen girman kaya a hanyar gaske maimakon ɗaukan cewa lambobin sun haɗu. Lissafin yana da sauƙi, hanyar ba haka ba.