घरेलू राउटर पर IPsec पास-थ्रू: यह वास्तव में क्या करता है

राउटर के पास-थ्रू स्विच उनके पीछे के उपकरण के लिए फ़ॉरवर्डिंग रियायतें हैं, VPN सेवाएँ नहीं। ये राउटर को क्लाइंट के रूप में दर्ज नहीं करते, क्रेडेंशियल नहीं रखते और घर के हर उपकरण को दूरस्थ निकास से नहीं गुज़ारते। ये जो करते हैं वह यह तय करना है कि एक प्रोटोकॉल पता अनुवाद और फ़िल्टरों को कैसे पार करता है। यह स्पष्ट होते ही स्विच को जाँचना आसान और उसे बंद छोड़ना भी आसान हो जाता है।

राउटर वास्तव में क्या कर रहा है

राउटर क्लाइंट और IPsec साथी के बीच बैठा होता है और ऐसे पैकेट अग्रेषित करता है जिन्हें समझने के लिए उसे कभी बनाया ही नहीं गया था। निर्माता यह सुविधा कम से कम तीन तरह से लागू करते हैं: स्थिति पर नज़र रखने या फिर से लिखने वाला प्रोटोकॉल सहायक, ESP गिराना रोकने वाला फ़िल्टर अपवाद, या पुराने क्लाइंट के लिए अनुकूलता मोड। वेब इंटरफ़ेस का लेबल शायद ही कभी बताता है कि तीनों में से आपके पास कौन-सा है। केवल फ़र्मवेयर नोट्स या पैकेट कैप्चर ही यह बताएँगे।

सहायक चीज़ों को और खराब भी कर सकता है। पुराने प्रवाह के लिए लिखी गई सहायता कभी-कभी ऐसे क्लाइंट में बाधा डालती है जो अनुवाद को पहले से सही ढंग से संभालता है। जब आधुनिक क्लाइंट विकल्प बंद रखकर काम करता है, तो उसे बंद रखना बेहतर कॉन्फ़िगरेशन है।

पास-थ्रू कभी राउटर को साथियों की कुंजियाँ नहीं देता। वह अब भी बाहरी पते और पोर्ट देखता है, और अब भी उन पर अपनी अग्रेषण नीति लागू करता है।

NAT और NAT-T मार्ग तय करते हैं

IPsec पता अनुवाद से बचने के लिए नहीं बनाया गया था, इसलिए मानकों ने एक आवरण जोड़ा। NAT ट्रैवर्सल ESP को UDP के भीतर समाहित करता है, जिससे एक साधारण NAT तालिका प्रवाह ढो सकती है, और बातचीत IKE के दौरान उस बदलाव पर सहमत होती है (RFC 3948)। IKE स्वयं UDP 500 का उपयोग करता है, जबकि आवरित पथ आमतौर पर UDP 4500 का उपयोग करता है।

इसलिए केवल प्रोटोकॉल 50 की अनुमति देने वाला फ़ायरवॉल नियम अनुवादित पथ पर पर्याप्त नहीं है। 4500 को अवरुद्ध करना उस स्थिति को तोड़ता है जिसके लिए आवरण मौजूद है, और 500 को अवरुद्ध करना कोई भी सुरंग बनने से पहले बातचीत रोक देता है। दोनों दिशाएँ मायने रखती हैं, क्योंकि स्थिति-सजग राउटर आमतौर पर अनुरोध देखने के बाद ही उत्तर की अनुमति देता है। पोर्ट तक पहुँचना प्रमाणीकरण पूरा करने के समान नहीं है, और संरक्षित ट्रैफ़िक अग्रेषित करने के समान भी नहीं है।

पुरानी व्यवस्थाएँ इतनी भिन्न हैं कि उनके लिए लिखी गई मार्गदर्शिका भ्रामक हो सकती है। जब क्लाइंट दोनों मोड प्रस्तुत करता है, तो अधिक खोज परिणाम वाले के बजाय उसका परीक्षण करें जिसे आपका साथी प्रलेखित करता है।

विफल चरण खोजें

समस्या को बातचीत, प्रमाणीकरण, संतति सुरक्षा और आंतरिक अग्रेषण में बाँटें, फिर एक बार में एक चरण के लिए साक्ष्य जुटाएँ। परिणाम को अस्थायी रूप से बदलने वाला रीबूट केवल यह सिद्ध करता है कि कोई स्थिति शामिल थी।

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

कैप्चर दिखाता है कि आदान-प्रदान साथी तक पहुँचता है या नहीं और उत्तर लौटते हैं या नहीं, जो फ़िल्टर समस्या को क्रेडेंशियल समस्या से अलग करता है। स्थिति सूची स्थापित सुरक्षा संबद्धताएँ दिखाती है, इसलिए प्रयास के बाद खाली सूची रूटिंग के बजाय बातचीत की ओर संकेत करती है। नीति सूची दिखाती है कि कौन-से चयनकर्ता स्थापित हैं, और वहीं सबनेट के बाहर का गंतव्य बाहर रखा जाता है। राउटर को छूने से पहले xfrm के दोनों आउटपुट पढ़ें, क्योंकि वे यह नहीं बताते कि राउटर क्या अनुमति देता है, बल्कि यह कि होस्ट क्या मानता है।

यदि पैकेट निकलते हैं और कुछ नहीं लौटता, तो कैप्चर को राउटर के WAN पक्ष पर ले जाएँ। दोनों कैप्चर की तुलना अनुमान लगाए बिना गिरावट का स्थान पहचान लेती है।

जिसकी आवश्यकता नहीं है उसे बंद करें

एक काम करता लैपटॉप यह सिद्ध नहीं करता कि राउटर एक साथ कई क्लाइंट संभालता है। हर क्लाइंट अपनी अनुवाद स्थिति और अपनी बातचीत बनाता है, और कुछ सहायक केवल एक प्रवाह पर नज़र रखते हैं। आपको वास्तव में जितने एक साथ सत्र चाहिए, उन्हें उन नेटवर्क से जाँचें जिन्हें आप वास्तव में उपयोग करते हैं। यदि पहला क्लाइंट ठीक चलता है और दूसरा विफल होता है, तो यही निष्कर्ष है, कोई अस्थिर सुरंग नहीं।

विकल्प को केवल तभी चालू रखें जब कैप्चर दिखाए कि इसकी आवश्यकता है। परिणाम के बगल में फ़र्मवेयर संस्करण लिखें, क्योंकि ये व्यवहार संस्करणों के बीच बदलते हैं। लक्ष्य आपके द्वारा सत्यापित क्लाइंट सुरंग है, आशा से चालू किया गया स्विच नहीं।