IPsec ta hanyar na’urar fita ta gida: abin da take yi da gaske

Maɓallan wucewa na na’urar fita izini ne na tura kaya ga na’urar da ke bayansu, ba sabis na VPN ba. Ba sa rajistar na’urar fita a matsayin abokin ciniki, ba sa riƙe bayanan shiga, kuma ba sa tura kowace na’ura a gidan ta hanyar fita ta nesa. Abin da suke yi shi ne su tsara yadda wata ƙa’ida ke ratsa fassarar adireshi da matatun. Da zarar wannan ya bayyana, maɓallin yana da sauƙin gwadawa kuma da sauƙin barin a kashe.

Abin da na’urar fita take yi da gaske

Na’urar fita tana tsakanin abokin ciniki da abokin IPsec, tana tura fakiti waɗanda ba a taɓa ƙera ta don fahimtarsu ba. Masu ƙera suna aiwatar da fasalin ta hanyoyi aƙalla uku: mataimakin ƙa’ida da ke bin diddigin ko sake rubuta yanayi, keɓewar matace da ke dakatar da jefar da ESP, ko yanayin jituwa da aka nufa ga tsofaffin abokan ciniki. Alamar da ke cikin fuskar yanar gizo ba kasafai take faɗin wanne daga cikin ukun kake da shi ba. Sai bayanan firmware ko ɗaukar fakiti ne za su faɗa.

Mataimaki na iya ƙara muni ma. Taimakon da aka rubuta don tsohuwar gudana wani lokaci yana tsoma baki da abokin ciniki da ke riga ya inganta fassarar. Lokacin da sabon abokin ciniki ke aiki da zaɓi a kashe, barin shi a kashe shi ne mafi kyawun tsari.

Wucewa ba ta taɓa ba na’urar fita mabuɗin abokan haɗin gwiwa. Har yanzu tana ganin adireshin waje da tashoshin jiragen ruwa, kuma har yanzu tana aiwatar da nata manufar turawa a kansu.

NAT da NAT-T ne ke ƙayyade hanyar

Ba a gina IPsec don tsira daga fassarar adireshi ba, saboda haka ƙa’idojin sun ƙara wani nade. NAT traversal yana sanya ESP cikin UDP, yana ba da damar teburin NAT na yau da kullum ɗaukar gudana, kuma tattaunawar ta amince da wannan canji yayin IKE (RFC 3948). IKE kanta tana amfani da UDP 500, yayin da hanyar da aka naɗe tana amfani da UDP 4500.

Shi ya sa dokar wuta da ke ba da izinin ƙa’ida 50 kawai ba ta isa a hanyar da aka fassara ba. Toshe 4500 yana karya yanayin da naden ya kasance dominsa, kuma toshe 500 yana tsayar da tattaunawa kafin wata hanyar rami ta samu. Duk kwatance biyu suna da muhimmanci, domin na’urar fita mai-bin-yanayi yawanci tana ba da izinin amsa ne kawai bayan ta ga buƙatar. Isar da tashar jiragen ruwa ba daidai yake da kammala tabbatarwa ba, haka kuma ba daidai yake da tura zirga-zirgar da aka kare ba.

Tsofaffin shirye-shirye sun bambanta sosai har jagorar da aka rubuta musu na iya yaudara. Lokacin da abokin ciniki ya ba da yanayi biyu, gwada wanda abokin haɗin gwiwarka ya rubuta ba wanda ke da ƙarin sakamakon bincike ba.

Nemo matakin da ke kasa

Raba matsalar zuwa tattaunawa, tabbatarwa, kariya ta yara da turawa ta ciki, sannan tattara shaida ga mataki ɗaya a lokaci guda. Sake kunnawa da ke canza sakamako na ɗan lokaci yana tabbatar da cewa wani yanayi ne ya shiga hannu kawai.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Ɗaukar yana nuna ko musayar ta isa wurin abokin haɗin gwiwa kuma ko amsoshi suna dawowa, wanda ke raba matsalar tacewa da matsalar bayanan shiga. Jerin yanayi yana nuna haɗin gwiwar tsaro da aka kafa, don haka jerin fanko bayan ƙoƙari yana nuni ga tattaunawa maimakon turawa. Jerin manufa yana nuna waɗanne zaɓaɓɓu aka sanya, kuma a nan ne ake ware wata manufa daga wajen ƙaramin cibiyar sadarwa. Karanta duka fitowar xfrm biyu kafin ka taɓa na’urar fita, domin suna bayanin abin da mai masaukin ya yi imani da shi ba abin da na’urar fita ta yarda da shi ba.

Idan fakiti sun fita kuma babu abin da ya dawo, matsar da ɗaukar zuwa gefen WAN na na’urar fita. Kwatanta ɗaukar biyun yana gano inda aka jefar ba tare da zato ba.

Kashe abin da ba ka buƙata

Kwamfutar tafi-da-gidanka ɗaya da ke aiki ba ta tabbatar da cewa na’urar fita tana kula da abokan ciniki da yawa a lokaci ɗaya ba. Kowanne abokin ciniki yana ƙirƙirar yanayin fassararsa da tattaunawarsa, kuma wasu mataimaka suna bin gudana ɗaya kawai. Gwada adadin zama na lokaci ɗaya da kake buƙata da gaske, daga cibiyoyin sadarwar da kake amfani da su da gaske. Idan abokin ciniki na biyu ya kasa yayin da na farko ke bunƙasa, wannan shi ne binciken, ba rami mai girgiza ba.

Bar zaɓin a kunne kawai lokacin da ɗaukar ya nuna ana buƙatarsa. Rubuta sigar firmware kusa da sakamakon, domin waɗannan halayen suna canzawa tsakanin fitarwa. Manufar ita ce ramin abokin ciniki da ka tabbatar, ba maɓallin da ka kunna da bege ba.