Me ya sa tcpdump ke nuna rubutun IPsec a fili a hanya ɗaya kawai

Kuna gudanar da tcpdump a kan fuskar waje na ƙofar IPsec ta Linux kuma kuna ganin abubuwa biyu lokaci ɗaya: firam ɗin ESP masu shigowa da, nan da nan bayansu, fakiti na ciki da aka warware su. A wajen fita, ESP kaɗai ke bayyana. Babban ra'ayin da ake samu shi ne cewa ba a aika amsoshi, ko kuma IPsec yana ɓoye hanya ɗaya kuma ya manta da ɗayan. Dukansu ba gaskiya ba ne.

Abin da kuke kallo shi ne wurin ɗauka. Kernel yana canza fakiti masu fita kafin hanyar watsa na'urar ta miƙa su ga soket ɗin fakiti, don haka soket ɗin ba ya taɓa ganin siffar ciki yayin fita. A wajen shigowa, ana ɗaukar fakitin a matsayin ESP da farko sannan kwafin da aka cire kube ya bayyana lokacin da ya sake shiga cikin tari. Zirga-zirga ɗaya, tagogin lura biyu daban-daban.

Wurin ɗauka yana ƙayyade abin da kuke gani

A kan fuskar al'ada, soket ɗin AF_PACKET yana zama kusa da matakin na'urar. Fakitin da ke barin mai masaukin suna wucewa ta hanyar sarrafa fitar IPsec da farko, wanda ke juya ɓangaren TCP na ciki zuwa datagram na ESP ko UDP-4500, sannan su isa wannan matakin. Fakitin da ke shigowa ana kwafa su zuwa soket ɗin yayin da suke fitowa daga waya, har yanzu an ɓoye su, kuma sakamakon da aka warware yana bayyana daga baya lokacin da tari ya isar da shi a gida ko ya tura shi gaba.

Wannan tsari yana bayyana rashin daidaituwar gaba ɗaya. Ba hujja ba ce game da hanya, manufa ko halin aikace-aikace, kuma ɗaukarsa haka yana sa mutane su bi amsar da aka aika daidai duk tsawon lokaci. Yana daya daga cikin ƴan kacici-kacici na cibiyar sadarwa inda kayan aiki, ba cibiyar sadarwa ba, ke haifar da sabani.

Daidaita tacewar da matakin da kuke nufi

Maganar kamar tcp port 443 tana zaɓar haɗin TCP na ciki. A wajen fita, wannan haɗin ya riga ya zama ESP a lokacin da aka tambayi soket ɗin, don haka tacewar ba ta dace da komai. Idan kuna son ƙididdige zirga-zirgar da aka kare, tace bisa siffar waje maimakon: ka'idar 50 don ESP ɗanye, ko tashar UDP 4500 idan ana amfani da tsallake NAT. Duka tacewowi biyu suna ba da adadin fakiti da za a iya kwatanta tsakanin ƙungiyoyi biyu, wanda yawanci shine dalilin ƙididdigewa kwata-kwata. Babu ɗayansu da ke gaya muku ko an amsa buƙatar ciki.

Kada ku ɗauki adadin UDP 4500 a matsayin adadin fakitin ESP. IKE ma yana amfani da wannan tashar don saƙonnin kiyaye rai na NAT-T da kuma musayar da aka lulluɓe, don haka adadin ya haɗa da zirga-zirgar da ba bayanan da kuke son auna ba. Musayar IKE ta farko a kan UDP 500 tana buƙatar tacewarta idan tambayar ita ce. Adadin da ke haɗa zirga-zirgar sarrafawa da bayanai shima yana sa duk wani kiyasin faɗin band ya zama kuskure da wani yanki da ba a sani ba. Ƙididdiga daban-daban suna amsa tambayoyi daban-daban.

Rubuta tacewar kusa da tambayar da take amsawa. «Nawa ESP ya bar akwatin» da «shin buƙatar yanar gizo ta bar akwatin» ma'auni ne daban-daban da tacewowi daban-daban, kuma ɗauka ɗaya ba zai iya warware duka biyun ba. Idan babu wannan bayanin, mutane biyu za su kwatanta lambobin da ba su taɓa ƙididdige abu ɗaya ba.

Duba kafin canji, ba bayan ba

Idan kuna buƙatar ganin rubutun fili mai fita, matsar da wurin lura da wuri, kafin sarrafa fitar IPsec. NFLOG yana ba ku ƙugiya ta Netfilter inda doka za ta iya kwafa zaɓaɓɓun fakiti zuwa soket na sararin mai amfani, wanda tcpdump zai iya karantawa. Jagorar zubar da zirga-zirga ta strongSwan ta rubuta wannan hanya saboda wannan dalili.

Daidaiton manufa yana iyakance dokar ga zirga-zirgar da ke gab da shiga rami. -m policy --pol ipsec --dir out shine abin da ke sa dokar ta kasance takamaimai maimakon yin rikodin kowane fakitin da akwatin ke aikawa. Sannan karanta rukunin log ɗin da ɗauka mai iyaka: ƙaramin adadin hotunan lokaci da iyakar girma suna hana binciken ya zama ajiyar zirga-zirga. Ɗauka mai iyaka kuma ya fi sauƙin miƙa wa mai bita ba tare da jan kaya maras alaƙa ba. Yanke shawara kan adadin kafin fara, ba bayan ganin nawa ya iso ba.

iptables -I OUTPUT 1 -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5
tcpdump -ni nflog:5 -s 128 -c 20 'host 10.83.0.44 and tcp port 8443'

Zaɓi ƙugiyar da ta dace da kwarara. OUTPUT yana rufe zirga-zirgar da ƙofar ke samarwa da kanta; wucewa daga abokin ciniki na LAN yana wucewa ta sarkar FORWARD a maimako, kuma doka a kan OUTPUT ba za ta taɓa ganinsa ba. Adireshin da tashar da ke sama makasudi ne na wurin gwajin da aka amince da shi.

Me lura ke tabbatarwa

NFLOG manufar yin rikodi ce, ba shawarar karɓa ba. Fakitin da ya bayyana a can yana nuna ya isa ƙugiyar kuma ya dace da dokar. Ba ya nuna cewa wata tacewa daga baya ta ba shi izini, cewa na'urar ta aika shi, ko cewa abokin karɓa ya sami wani abu.

Log ɗin da ba komai a ciki shima ba shi da tabbas daidai. Duba ma'aunin fakitin dokar, tabbatar da hanya, tabbatar da cewa kwararar ta dace da manufar IPsec da gaske, sannan tabbatar da inda aka nufa. Ma'aunin da ya dace a kan ƙungiyoyin biyu kaɗai ke mai da lura zuwa ga ƙarshe. Sannan kwatanta ma'aunan ƙungiyar tsaro a kan ƙungiyoyin biyu don wannan yunƙuri ɗaya da aka sarrafa, domin ma'aunan SA sune rikodin tabbataccen abin da aka kare kuma aka aika.

Wata tarko: «rubutun fili» a wannan mahallin yana nufin bayan matakin ɓoyewa na IPsec. Sesshin HTTPS na ciki har yanzu yana da TLS ɗinsa. Ɗaukar fakitin da aka cire kube baya warware TLS ɗin aikace-aikacen, kuma ganin HTTP mai iya karantawa a can yana nufin aikace-aikacen bai taɓa amfani da HTTPS ba.

Tsaftace kuma kwatanta ƙarshen biyu

Cire ainihin dokar da kuka saka, ta mai ita, da zarar an gama lura. Barin dokar rikodi a wurin yana kashe CPU a kan kowane fakitin da ya dace kuma a hankali yana haifar da matsalar riƙe bayanai. Share ta hanyar maimaita dokar tare da -D maimakon wanke sarkar da ba ta ku ba.

iptables -D OUTPUT -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

Idan turawar tana amfani da IPsec na sararin mai amfani, fuskar XFRM ko saukar da kayan aiki, wuraren lura suna motsi kuma wannan girke-girken na iya rashin aiki kwata-kwata. Tare da libipsec, wurin da aka rubuta don lura da zirga-zirgar ciki shine na'urar TUN. Fara gano hanya, sannan zaɓi wurin da ke amsa tambayar, kuma yi tsammanin hanyoyin biyu za su bambanta ne kawai lokacin da kuke kallon ɓangaren da bai dace na canjin ba.