Yadda IPsec na tushen hanya ke aiki da XFRM interface

IPsec na tushen hanya yana ba teburin hanya shawarar da masu zaɓen manufa suka kasance suna yankewa a da. A Linux, sashin da ke sa hakan yiwuwa ita ce interface ta XFRM: na'urar da ba ta zahiri ba wadda ake daidaita zirga-zirgarta da yanayin IPsec ta hanyar mai gano interface maimakon mai zaɓe. Ƙirƙirar ɗaya yana ɗaukar umarni ɗaya kuma ba ya tabbatar da komai game da ko akwai rami. Na'urar wani ƙugiya ce tsakanin tafiyar da hanya da manufar tsaro, kuma dole a daidaita ɓangarorin biyu na wannan ƙugiya kafin a kare kome.

Abin da na'urar take shi ne da abin da ba ta kasance ba

Interface ta XFRM riƙon tafiyar hanya ce. Ana daidaita fakiti da ake tafiyar da su cikinta da manufofin XFRM waɗanda ke nuni ga wannan mai gano interface, kuma idan akwai manufa da yanayi, ana lulluɓe su. Ba tare da waɗannan ba interface ɗin tana wanzuwa, ƙididdiga suna tsayawa, kuma zirga-zirgar tana zuwa wurin da ba ta da amfani.

Wannan shi ne rabuwa ta farko ta bincike. Hanya zuwa cikin na'urar gaskiyar tafiyar hanya ce, yanayin da aka sanya gaskiyar tsaro ce, kuma ƙididdiga mai hawa kan na'urar ba ɗaya daga cikinsu ba ce. Sa'ad da mutane suka ce ramin yana sama saboda interface ɗin tana nuna UP, suna kwatanta tutocin haɗin na'urar da ba ta zahiri ba wadda ba ta da abokiyar kanta. Tutar tana nufin an ƙirƙiri na'urar kuma an kunna ta, ba komai ba.

Wata iyaka: mai gano interface ba suna ba ne. Na'urori biyu masu kama da suna da masu gano daban ba sa raba yanayi, kuma haɗin da aka daidaita da kuskuren mai gano yana sanya yanayin da babu hanyar da za ta taɓa amfani da shi.

Gina ɗaya a cikin tsari da ya dace

Fara da na'urar waje da lambar da za ka saka a tsarin daemon. Misalin yana amfani da eth0 a matsayin interface ta waje da 42 a matsayin mai gano, adiresoshin da ya kamata ka maye gurbinsu da naka.

Tada na'urar, sannan tabbatar da mai gano da kernel ya rubuta kafin ka taɓa tsarin VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Yanzu daidaita haɗin a cikin strongSwan da wannan mai gano, domin daemon dole ya sanya manufofi da yanayi waɗanda ke nuni gare shi. Sanya masu zaɓen zirga-zirga na gida da na nesa zuwa iyakar da kake son tafiyar da ita, sannan ka tafiyar da wannan iyaka zuwa cikin na'urar. Tsarin daemon da teburin hanya dole su yarda a kan mai gano da kuma wuraren da za a je, kuma babu ɗaya da ke bayar da ɗayan.

Ka riƙe IKE da ESP a wajen hanyar rami

Hanya ta asali da ke nuni zuwa cikin na'urar XFRM tana kama fakiti da aka lulluɓe da kuma zirga-zirgar da suke ɗauka. Sakamakon shi ne madauki: ƙofar tana ƙoƙarin aika ESP nata ta cikin ramin da ESP ya kamata ya gina.

Magani shi ne hanya mafi takamaimai ga adireshin waje na abokin ta hanyar interface ta zahiri, wadda take cin nasara bisa ta asali domin tana daidaita fiye da bit. Tafiyar hanya ta tushen alama tana yin wannan aiki yayin da ramuka da yawa suka raba tebur ɗaya, kuma strongSwan yana rubuta hanyoyin biyu ga turawar da ta dogara da hanya.

Duk abin da ka zaɓa, tabbatar cewa fakiti na waje yana fita ba a lulluɓe shi ba. Bincike mai sauri shi ne yin ping ga adireshin waje na abokin bayan ramin ya tashi; idan hakan ya kasa alhali interface ɗin tana sama, ka yi zargin kamawa maimakon isa. Wannan tunani ɗaya ya shafi tashar IKE, domin zirga-zirgar UDP ta daemon da kanta ba dole ba ta shiga cikin na'urar da yake ƙoƙarin kafawa.

Duba ƙididdiga a wurare biyu kafin ka zargi ɓoyewa

Ƙididdigan interface da ƙididdigan yanayi suna auna matakai daban. Fakitin da aka tafiyar da su cikin na'urar suna ƙara na'urar ko da babu yanayin da ya dace, yayin da ƙididdigan yanayi ke motsawa kawai don zirga-zirgar da aka lulluɓe da gaske.

Karanta duka biyu, sannan karanta ra'ayin daemon game da haɗin yaro:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Ƙididdigan na'urar da ke hawa tare da fankon yanayi mara komai suna nufin tafiyar hanya tana aiki kuma manufar ba ta dace, yawanci kuskuren mai gano ko mai zaɓe. Ƙididdigan yanayi da ke hawa yayin da ɓangaren nesa ba ya ba da labari suna nufin fakiti suna fita amma ba sa isa ko kuma sun kasa tabbatarwa, wanda ke nuni ga hanya ko tsarin abokin. Haɗin yaro da aka jera da zirga-zirga sifili matsalar mai zaɓe ce a gefe ɗaya, ba karyayyen sirri ba.

Yanke shawara wanda zai sanya hanyoyin

Masu hanyoyi biyu ga teburin hanya ɗaya shine tushen da aka saba da shi na jujjuyawa. Idan daemon yana sanya hanyoyi kai tsaye, dole manajan cibiyar sadarwarka shi ma ba zai sanya hanyar asali ta wannan na'urar ba, kuma hanyar hannu da rubutun farawa ya ƙara za a cire ta lokaci na gaba da daemon ya sake daidaitawa.

Zaɓi mai shi ɗaya ka rubuta shi. Idan daemon ya mallaki hanyoyin, ka riƙe rubutun farawa a wajen tebur kuma ka bar bayanin haɗin ya kwatanta masu zaɓen zirga-zirga. Idan manajan cibiyar sadarwa ya mallake su, kashe sanyawa kai tsaye kuma ka yarda da cewa daemon ba zai gyara hanyar da ta ɓace ba idan an sake haɗawa.

Dokokin turawa da katangar wuta shawara ce daban a kan wannan, domin ƙofar da ke ba da zirga-zirgar wasu mashigai tana bukatar duka biyun. IPsec na tushen hanya yana sa wannan zirga-zirgar sauƙin bayyanawa da kayan aikin tafiyar hanya na yau da kullum; ba ya mayar da matakin manufa zuwa zaɓi.