Inda VPN na rukunin yanar gizonka ke ƙarewa shi ke ƙayyade abin da ake dubawa

Tunel tsakanin rukunin yanar gizo yana ɓoye wani bayani da ke ƙayyade dukan ƙirar dubawa: ainihin na'urar da fakitin ciki ke bayyana a matsayin bayyanannen rubutu. Duk abin da ke gaban wannan batu yana ganin ESP, kuma duk abin da ke bayansa yana ganin IP ta gari da wata doka za ta iya kamawa. Sanya iyaka a wuri mara kyau kuma bangon wutar da ka biya ya zama rawuta mai lasisi. Jagorar da ke ƙasa ta fara zana layin sannan ta tambaya wace na'ura ce ya kamata ta mallake shi.

Zana layin a inda fakitin ya daina ɓoyewa

A yanayin tunel, ana ɓoye fakitin asali sannan a nannaɗe shi a cikin sabon kan IP na waje da aka yi wa ƙofar abokin tarayya adireshi. Wannan fakitin na waje yana ɗauke da yarjejeniya 50 domin ESP, don haka kowace na'ura tsakanin ƙofofin biyu za ta iya tafiyar da shi ba tare da karanta adiresoshin ciki ba. Na'urar farko da ke buɗe ɓoyewa ita ce iyakar tsaro, kuma ita ce na'urar farko da za ta iya amfani da manufa ga kwararar ciki. Duk abin da ke ƙasa da wannan batu tafiyar da hanya ta gari ne.

Yi alama abubuwa uku a zanen: wurin ƙarshe na waje da ke karɓar ESP, cibiyoyin sadarwar da aka kare da aka ambata a cikin manufa, da tsalle na gaba da fakitin da aka buɗe ɓoyewarsa ke ɗauka. Idan waɗannan uku ba su kan na'ura ɗaya ba, kana da miƙa da za a tsara, ba wurin sarrafawa ɗaya ba.

RFC 4301 yana kiran na'urar da ke buɗe ɓoyewa ƙofar tsaro kuma yana ɗaukar manufarta a matsayin ɓangaren iyaka. Wannan tsari ne mafi amfani fiye da rukunin samfur, domin na'ura tana zama iyaka lokacin da take riƙe da manufa, ba lokacin da takardar bayananta ta ce bangon wuta ba.

Bangon wuta a matsayin ƙarshe: na'ura ɗaya, wurin manufa ɗaya

Lokacin da bangon wuta ya ƙare tunel ɗin, rawutar da ke sama tana buƙatar kawai isar da ESP gare shi. Bangon wuta yana tabbatar da abokin tarayya, yana buɗe ɓoyewa, sannan yana amfani da dokokinsa na yau da kullum ga fakitin ciki a kan hanyar zuwa VLAN na sabar. Wannan yana ba da wuri ɗaya na karanta manufa da wuri ɗaya na karanta rajistan ayyuka, abin da bincike yakan buƙata.

Duba izini biyu daban. Ba da izinin IKE da ESP zuwa na'urar ba doka ɗaya ba ce da ba da izinin wani rukunin yanar gizo mai nisa ya isa sabar, kuma bangon wutar da ke karɓar tunel yayin da yake toshe kwararar ciki yana kama da tunel da ya lalace daga wannan gefen.

Farashin shi ne cewa bangon wuta yanzu yana kan hanyar dukan zirga-zirgar rukunin yanar gizon, don haka ƙarfinsa, iyakokin zama da halinsa na juyawa idan ya kasa sun zama halin tunel ɗin kansa. Auna shi don haɗaɗɗun kwararar rukunin, ba don bayanin shiga nesa da wataƙila aka saya shi dominsa ba.

Rawuta a matsayin ƙarshe: tsallen dubawa ya zama na zaɓi

Lokacin da rawuta ta buɗe ɓoyewa, fakitin ya riga ya bayyana lokacin da ya isa teburin tafiyar da hanya. Idan wani bangon wuta daban zai duba wannan zirga-zirgar, rawuta dole ta aika shi ta bangon wutar kuma hanyar dawowa dole ta dawo haka. Hanya kai tsaye daga rawuta zuwa VLAN na sabar tana cire bangon wuta daga hanya cikin shuru yayin da take barin shi a zanen.

Wannan shine gazawar da ya kamata a nema a cikin cibiyar sadarwar da take akwai: hanyoyi biyu zuwa ga maɗauri ɗaya, ɗaya ta bangon wuta ɗaya kai tsaye, kai tsayen kuma yana cin nasara bisa tsawon maɗauri ko awo. Tunel ɗin yana ci gaba da wuce zirga-zirgar, kuma dubawar da ka yi imani da ita ba ta faruwa.

Tunel ɗin da suka dogara da hanya suna sa wannan ya bayyana, domin tunel ɗin wata hanya ce da za ka iya tafiyar da ita ta wata na'ura. Tunel ɗin da suka dogara da manufa suna zaɓar zirga-zirgar da mai zaɓe, wanda zai iya barin fakitin da aka buɗe a kan rawuta ba tare da wata hanya ba.

Tambayi duka 'yan takara biyu tambayoyi biyar ɗaya

Takardar aiki gajera tana cin nasara a kan matrix ɗin fasali, domin kowace tambaya tana dacewa da layi ɗaya a zanen. Tambayi kowane ɗan takara:

• Waɗanne sigogin IKE, waɗanne hanyoyin tabbatar da abokin tarayya da tsarin tafiyar da hanya ne wannan sigar ke goyon baya da gaske?
• A ina ake karɓar ESP, kuma a ina ake barin ko hana kwararar da aka buɗe?
• Ta yaya ma'abota gida suke koyon maɗaurin nesa, kuma ta yaya ɗaya gefen ke koyon naka?
• Wane ƙarfi, adadin zama da halin juyawa idan ya kasa ne wurin ƙarshe zai jure wa ainihin aikin?
• Wanene ke da takardun shaidar abokin tarayya, manufa da hanyar dawo da abu lokacin da tunel ɗin shine abin da ya lalace?

pfSense yana rubuta IPsec da ya dogara da manufa da wanda ya dogara da hanya a matsayin tsari daban-daban masu iyakoki daban-daban, kuma wannan bambanci ya fi lakabin da ke jikin akwati muhimmanci. Duba ainihin yanayi da tacewar zirga-zirgar da aka buɗe da ake goyon baya a cikin sigar da za ka tura da gaske.

Idan ɗan takara ba zai iya amsa tambaya ta biyu da wata doka da za ka iya karantawa ba, ba ita ce iyakar da kake so ba, komai kyawun abin da yake yi. Nemi rubutun dokar maimakon amsa eh, kuma ɗauki amsa marar bayyana a matsayin a'a.

Tabbatar da hanyar da kamawa, ba da zane ba

Zane yana bayanin niyya kuma kamawa tana bayanin hali, don haka tabbatar wace hanya ce ke ɗauke da ESP kuma wacece ke ɗauke da kwararar ciki kafin ka amince da ɗaya daga cikinsu.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Idan kamawa ta farko ta nuna ESP na zuwa kuma ta biyu ta nuna fakitin ciki a gefen LAN, wurin buɗe ɓoyewa yana inda kake tsammani. Idan fakitin ciki ya bayyana a wani sashe da ke ƙetare bangon wuta, tafiyar da hanya ba daidai ba ce, ko me rubutun manufa ya ce. Jerin xfrm sannan zai nuna waɗanne masu zaɓe aka girka da kuma wace hanya.

Maimaita kamawa a hanyar dawowa, domin tafiyar da hanya marar daidaito ta zama ruwan dare lokacin da rukunin yanar gizo ke da hanyoyin fita biyu. Tunel ɗin da ke aiki a hanya ɗaya kuma ya ƙare da lokaci a ɗaya, kusan koyaushe shine wannan, kuma babu wani gyaran manufa a ɗaya gefen da zai gyara shi.