Babu tun0? Daidaita IPsec da aka warware a nftables da meta ipsec

Kana tsammanin maɓallin rami, kana nemansa, kuma babu abin da za a daidaita a cikin katangar wuta. Wannan al'ada ce ga ƙofar da ke bisa manufofi: musayar da aka ɓoye tana zuwa kan maɓallin zahiri, kuma ana ganin fayil ɗin ciki da aka warware da ake tura shi gaba shima yana zuwa kan wannan maɓallin. Babu tun0 domin babu abin da ya ƙirƙira shi.

Buƙatar ciki har yanzu fayil daban ne da nasa tushe, manufa da sabis, kuma ƙwaƙwalwar tsakiya ta san daga wace ƙungiyar tsaro ya fito. Wannan ilimin ne ka'idar katangar wuta za ta iya daidaitawa.

Fayiloli biyu, maɓalli ɗaya

Ka yi tunanin alkiblar shigowa. Fayil da aka lulluɓe a ESP ko UDP yana zuwa, ƙwaƙwalwar tsakiya ta sami manufar da ta dace, ta warware shi kuma ta ba da fayil ɗin bayyananne ga hanyar turawa. Ka'idar da ke kallon sunan maɓalli kawai ba za ta iya bambanta wannan fayil da duk wani zirga-zirga da ke zuwa kan wannan waya ba.

Abin da ke bambanta shi shine mahallin hanyar tsaro ta shigowa da ke manne da fayil ɗin. nftables yana nuna shi a matsayin meta ipsec exists, wanda gaskiya ne lokacin da fayil ɗin ya zo ta hanyar tsaro ta IPsec. Haɗa shi da rukunin abokan ciniki, manufa da sabis, ka'idar za ta zama takamaimai don ta kasance lafiya.

Barin mahallin shi ne kuskuren da aka saba, kuma kuskuren tsaro ne ba na ado ba. Ka'idar da ke karɓar duk abin da ya fito daga rukunin abokan ciniki tana karɓar fayil ɗin jabu daga cibiyar sadarwar gida da farin ciki ɗaya, domin adireshin tushe shi kaɗai ba hujja ba ce ga kome. Mahallin hanyar tsaro ita ce hanya mafi arha don mai da tushen ma'ana. Rubuta ka'idar da shi tun daga farko maimakon ƙara shi bayan bincike.

Rubuta ka'idar turawa

A ce akwai sabis ɗin shiga nesa na IPv4 da aka tabbatar da abokan ciniki a cikin 10.90.0.0/24 da manufa ɗaya da aka amince da ita a 203.0.113.40. Guntun ka'ida ga wannan kwarara yana kama da haka.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

Adireshin da maɓallin misalai ne da za a maye gurbinsu. Sanya kwatankwacin da aka duba a cikin manufar turawa kafin ka'idar da za ta ƙi kwararar, kuma kada ka wanke rukunin ka'idoji da ke akwai don girka shi; ƙofa ba gwajin ɗaki mai tsabta ba ce.

Kalmar oifname ta cancanci a riƙe. Tana rubuta shawarar fita kuma tana hana ka'idar daidaitawa a alkibla da ba ka nufa ba, wanda ke da muhimmanci a ƙofa mai hanyoyi da yawa zuwa intanet. A kan akwatin gwaji mai hanyar sama ɗaya kalmar tana kama da wuce gona da iri, kuma shi ya sa ake cire ta kafin akwatin ya sami hanya ta biyu.

Izini na musayar waje daban ne. Hanyar shigar ƙofar tana buƙatar tashoshin IKE da ESP ko na lulluɓe UDP da take amfani da su a zahiri, kuma waɗannan izini ba su ba da izini ga kome game da fayil ɗin da aka warware a ciki ba. Haɗa biyun ita ce hanyar da rami mai aiki ke ƙarewa da katangar wuta da ke tura komai.

Mahallin shigowa ba mahallin fita ba ne

Iyalin maganganu ɗaya sun rufe ɗayan alkibla da rt ipsec, wanda ke bayyana ƙungiyar tsaro ta fita da fayil zai yi amfani da ita. Yana amsa wata tambaya dabam: ba inda wannan fayil ya fito ba, amma ko za a kare shi a ƙafarsa ta gaba.

Wannan bambanci yana da muhimmanci a ƙofa da ke ƙare rami ɗaya kuma tana turawa cikin wani a lokaci ɗaya. Fayil na iya zuwa a warware kuma har yanzu ya buƙaci fita a ɓoye, kuma karɓa da aka rubuta don mahallin shigowa kawai ba ta ce kome ba game da buƙatar fita. Idan manufar na buƙatar wannan kariyar, rukunin ka'idoji ya kamata ya bayyana ta maimakon ɗauka cewa hanyar hanya za ta kula da ita.

Riƙe tambayoyin biyu a ka'idoji dabam domin mai karatu ya ga wace ake aiwatarwa. Ka'ida ɗaya mai wayo da ke duba duka biyu tana da wuyar dubawa kuma tana da wuyar gyara lokacin da rabinta ya daina daidaitawa. Ka'idoji biyu masu kirga suma suna gaya maka wace buƙata ke gazawa, abin da ka'ida haɗaɗɗiya ɗaya ba za ta taɓa yi ba.

NAT ba shawara ce ta katangar wuta ba

Zirga-zirgar zuwa intanet daga rukunin abokan ciniki na sirri yawanci na buƙatar fassarar tushe domin amsa ta sami hanyar dawowa. Amma zirga-zirgar da aka zaɓa don wata manufar IPsec ta fita dole ta riƙe keɓewar da ake buƙata, kuma rufe kowane tushe na sirri ba tare da tunanin shawarar kariya ta gaba ba yana karya hakan.

Karɓa cikin sarkar NAT ita ma ba izini na gama-gari ba ce. NAT da tacewa suna da ayyuka dabam, kuma sarkar NAT ba ta duba kowane fayil na gaba na kwarara da aka kafa, kuma shi ya sa dogaro da ita don tsaro ke samar da ka'idoji da suke kama da aiki a gwaji kuma suke gazawa ƙarƙashin nauyi.

Akasin haka ma gaskiya ne kuma yana ba mutane mamaki: karɓa a wani wuri cikin sarkar tacewa ta tushe ba ta da wani nauyi a gaban ƙi na gaba a wata sarkar da ta dace. Tsari da iyakar sarkar ne ke yanke hukunci, ba kasancewar karɓa a cikin fayil ɗin ba.

Tabbatar da ainihin sabis ɗin ciki

Gwada takamaiman manufa da tashar da ka ba da izini, daga ainihin abokin ciniki, kuma tabbatar amsar tana dawowa. Sannan gwada wani abu da ba ka ba da izini ba kuma duba cewa ba ya wucewa, domin ka'idar da ta yi faɗi da yawa tana wucewa gwajin farko kamar yadda daidai take ke yi. Buƙatar da ba ta taɓa barin abokin ciniki ita ma ba sakamakon katangar wuta ba ne, don haka karanta kirga don ganin ko an tantance fayil ɗin kwata-kwata. Gwaji biyu da karatun kirga ɗaya za su gaya maka fiye da yini ɗaya ana karanta rukunin ka'idoji.

Bayanan nftables yana rubuta meta ipsec, rt ipsec da maganganun da suka shafi alkibla, kuma nan ne wurin duba tsarin magana da sigar da ka girka. Kuma riƙe iyaka a bayyane: wannan misalin IPv4 ne, bai ce kome ba game da IPv6, kuma ba ya mai da tura tashar jama'a na son rai wani ɓangare na sabis ɗin VPN.