IPsec-átengedés otthoni routeren: mit tesz valójában

A router átengedő kapcsolói továbbítási engedmények a mögötte lévő eszköznek, nem VPN-szolgáltatások. Nem regisztrálják a routert kliensként, nem tartanak hitelesítő adatokat, és nem tolnak át minden háztartási eszközt távoli kijáraton. Amit tesznek, az annak formálása, ahogyan egy protokoll áthalad a címfordításon és a szűrőkön. Ha ez világos, a kapcsoló könnyen tesztelhető és könnyen kikapcsolva hagyható.

Mit tesz valójában a router

A router egy kliens és egy IPsec-partner között ül, és olyan csomagokat továbbít, amelyek megértésére soha nem tervezték. A gyártók a funkciót legalább háromféleképpen valósítják meg: állapotot követő vagy átíró protokollsegéd, ESP eldobását leállító szűrőkivétel, vagy a régebbi klienseket célzó kompatibilitási mód. A webes felület címkéje ritkán mondja meg, melyik van Önnél a háromból. Csak a firmware-jegyzetek vagy egy csomagrögzítés mondja meg.

Egy segéd ronthat is a helyzeten. A régebbi folyamatra írt segítség néha zavarja azt a klienst, amely már helyesen kezeli a fordítást. Ha egy modern kliens kikapcsolt opcióval működik, jobb konfiguráció kikapcsolva hagyni.

Az átengedés soha nem adja át a routernek a partnerek kulcsait. Továbbra is látja a külső címeket és portokat, és továbbra is a saját továbbítási szabályzatát alkalmazza rájuk.

A NAT és a NAT-T dönti el az útvonalat

Az IPsec-et nem arra építették, hogy túlélje a címfordítást, ezért a szabványok hozzáadtak egy burkolatot. A NAT traversal UDP-be csomagolja az ESP-t, így egy közönséges NAT-tábla viheti a folyamot, és a tárgyalás megállapodik erről a váltásról az IKE során (RFC 3948). Maga az IKE az UDP 500-at használja, míg a becsomagolt útvonal általában az UDP 4500-at.

Ezért egy csak az 50-es protokollt engedélyező tűzfal-szabály nem elég egy lefordított útvonalon. A 4500 blokkolása megtöri azt az esetet, amelyre a burkolat létezik, az 500 blokkolása pedig leállítja a tárgyalást, mielőtt bármilyen alagút kialakulna. Mindkét irány számít, mert az állapotkövető router általában csak azután engedi a választ, hogy látta a kérést. Egy porthoz eljutni nem ugyanaz, mint befejezni a hitelesítést, és nem ugyanaz, mint védett forgalmat továbbítani.

A régebbi elrendezések eléggé különböznek ahhoz, hogy a nekik írt útmutató félrevezessen. Ha egy kliens mindkét módot felkínálja, azt tesztelje, amelyet az Ön partnere dokumentál, ne azt, amelyiknek több találata van a keresőben.

Találja meg a sikertelen szakaszt

Bontsa a problémát tárgyalásra, hitelesítésre, gyermekvédelemre és belső továbbításra, majd gyűjtsön bizonyítékot egyszerre egy szakaszra. Az újraindítás, amely ideiglenesen megváltoztatja az eredményt, csak azt bizonyítja, hogy valamilyen állapot közrejátszott.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

A rögzítés megmutatja, eléri-e a csere a partnert, és visszajönnek-e a válaszok, ami elválasztja a szűrési problémát a hitelesítő adatok problémájától. Az állapotlista a létrejött biztonsági asszociációkat mutatja, így egy kísérlet utáni üres lista tárgyalásra utal, nem útválasztásra. A házirend-lista mutatja, mely szelektorok vannak telepítve, és ott záródik ki az alhálózaton kívüli cél. Olvassa el mindkét xfrm-kimenetet, mielőtt hozzányúl a routerhez, mert azt írják le, amit a gazdagép hisz, nem azt, amit a router engedélyez.

Ha a csomagok elmennek és semmi sem jön vissza, helyezze át a rögzítést a router WAN-oldalára. A két rögzítés összehasonlítása tippelés nélkül lokalizálja az eldobást.

Kapcsolja ki, amire nincs szüksége

Egy működő laptop nem bizonyítja, hogy a router egyszerre több klienst szolgál ki. Minden kliens saját fordítási állapotot és saját tárgyalást hoz létre, és néhány segéd csak egy folyamot követ. Tesztelje az egyszerre szükséges munkamenetek számát azokból a hálózatokból, amelyeket valóban használ. Ha a második kliens elbukik, miközben az első virágzik, az a lelet, és nem egy ingatag alagút.

Csak akkor hagyja bekapcsolva az opciót, ha egy rögzítés azt mutatja, hogy szükség van rá. Jegyezze fel a firmware verzióját az eredmény mellé, mert ezek a viselkedések kiadások között változnak. A cél egy Ön által ellenőrzött kliensalagút, nem egy reménykedve bekapcsolt kapcsoló.