IPsec-ի անցումը տնային երթուղիչում՝ ինչ է այն իրականում անում

Երթուղիչի անցման անջատիչները փոխանցման զիջումներ են դրանց հետևում գտնվող սարքի համար, ոչ թե VPN ծառայություններ։ Դրանք երթուղիչը որպես հաճախորդ չեն գրանցում, հավատարմագրեր չեն պահում և տան յուրաքանչյուր սարք հեռավոր ելքով չեն անցկացնում։ Այն, ինչ նրանք անում են, ձևավորում է, թե ինչպես է մեկ արձանագրություն հատում հասցեների թարգմանությունը և զտիչները։ Երբ դա պարզ է, անջատիչը հեշտ է փորձարկել և հեշտ է անջատված թողնել։

Ինչ է երթուղիչն իրականում անում

Երթուղիչը կանգնած է հաճախորդի և IPsec գործընկերոջ միջև և փոխանցում է փաթեթներ, որոնք հասկանալու համար երբեք չի նախագծվել։ Արտադրողները գործառույթն իրականացնում են առնվազն երեք եղանակով: արձանագրության օգնական, որը հետևում կամ վերագրում է վիճակը, զտիչի բացառություն, որը դադարեցնում է ESP-ի դեն նետումը, կամ համատեղելիության ռեժիմ հին հաճախորդների համար։ Վեբ ինտերֆեյսի պիտակը հազվադեպ է ասում, թե երեքից որն ունեք։ Միայն որոնվածի նշումները կամ փաթեթների գրանցումը դա կասեն։

Օգնականը կարող է նաև վիճակը վատացնել։ Հին հոսքի համար գրված օգնությունը երբեմն խանգարում է հաճախորդին, որը թարգմանությունն արդեն ճիշտ է մշակում։ Երբ ժամանակակից հաճախորդն աշխատում է տարբերակը անջատված, ավելի լավ կարգավորում է այն անջատված թողնելը։

Անցումը երբեք երթուղիչին չի տալիս գործընկերների բանալիները։ Այն դեռ տեսնում է արտաքին հասցեներն ու պորտերը և դեռ կիրառում է իր փոխանցման քաղաքականությունը դրանց վրա։

NAT-ը և NAT-T-ն որոշում են ուղին

IPsec-ը չի կառուցվել հասցեների թարգմանությունը հաղթահարելու համար, ուստի ստանդարտները ավելացրին փաթաթան։ NAT traversal-ը ESP-ը փաթաթում է UDP-ի մեջ, ինչը թույլ է տալիս սովորական NAT աղյուսակին կրել հոսքը, և բանակցությունը համաձայնում է այդ փոխարկմանը IKE-ի ընթացքում (RFC 3948)։ IKE-ն ինքն օգտագործում է UDP 500, մինչդեռ փաթաթված ուղին սովորաբար օգտագործում է UDP 4500։

Ահա թե ինչու միայն 50 արձանագրությունը թույլատրող firewall կանոնը բավարար չէ թարգմանված ուղու վրա։ 4500-ի արգելափակումը կոտրում է այն դեպքը, որի համար գոյություն ունի փաթաթան, իսկ 500-ի արգելափակումը կանգնեցնում է բանակցությունը մինչև որևէ թունելի ձևավորումը։ Երկու ուղղություններն էլ կարևոր են, որովհետև վիճակը հետևող երթուղիչը սովորաբար պատասխանը թույլատրում է միայն հարցումը տեսնելուց հետո։ Պորտին հասնելը նույնը չէ, ինչ նույնականացումն ավարտելը, և նույնը չէ, ինչ պաշտպանված երթևեկությունը փոխանցելը։

Ավելի հին կարգավորումները բավական տարբերվում են, որ դրանց համար գրված ուղեցույցը կարող է մոլորեցնել։ Երբ հաճախորդն առաջարկում է երկու ռեժիմները, փորձարկեք այն, որը փաստագրում է ձեր գործընկերը, այլ ոչ թե ավելի շատ որոնման արդյունք ունեցողը։

Գտեք ձախողված փուլը

Բաժանեք խնդիրը բանակցության, նույնականացման, զավակի պաշտպանության և ներքին փոխանցման, ապա հավաքեք ապացույցներ մեկ փուլի համար միաժամանակ։ Վերագործարկումը, որը ժամանակավորապես փոխում է արդյունքը, ապացուցում է միայն, որ ինչ-որ վիճակ ներգրավված էր։

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Գրանցումը ցույց է տալիս՝ փոխանակումը հասնում է գործընկերոջը, և պատասխանները վերադառնում են, ինչը առանձնացնում է զտման խնդիրը հավատարմագրերի խնդրից։ Վիճակի ցանկը ցույց է տալիս հաստատված անվտանգության միավորումները, ուստի փորձից հետո դատարկ ցանկը մատնանշում է բանակցությունը, ոչ թե երթուղավորումը։ Քաղաքականության ցանկը ցույց է տալիս, թե որ ընտրիչներն են տեղադրված, և հենց այնտեղ է բացառվում ենթացանցից դուրս նպատակակետը։ Կարդացեք xfrm-ի երկու արտածումները նախքան երթուղիչին դիպչելը, քանի որ դրանք նկարագրում են, ինչ հյորը կարծում է, այլ ոչ թե ինչ երթուղիչը թույլատրում է։

Եթե փաթեթները դուրս են գալիս և ոչինչ չի վերադառնում, տեղափոխեք գրանցումը երթուղիչի WAN կողմ։ Երկու գրանցումների համեմատությունը տեղորոշում է կորուստը առանց գուշակելու։

Անջատեք այն, ինչ պետք չէ

Մեկ աշխատող նոթբուք չի ապացուցում, որ երթուղիչը սպասարկում է մի քանի հաճախորդների միաժամանակ։ Յուրաքանչյուր հաճախորդ ստեղծում է իր թարգմանության վիճակը և իր բանակցությունը, և որոշ օգնականներ հետևում են միայն մեկ հոսքի։ Փորձարկեք ձեզ իրականում անհրաժեշտ միաժամանակյա սեսիաների քանակը՝ այն ցանցերից, որոնք իրականում օգտագործում եք։ Եթե երկրորդ հաճախորդը ձախողվում է, մինչ առաջինը ծաղկում է, դա է գտածոն, ոչ թե ցնցվող թունել։

Պահեք տարբերակը միացված միայն այն ժամանակ, երբ գրանցումը ցույց տա, որ դա անհրաժեշտ է։ Գրեք որոնվածի տարբերակը արդյունքի կողքին, քանի որ այս պահվածքները փոխվում են թողարկումների միջև։ Նպատակը ձեր ստուգած հաճախորդի թունելն է, ոչ թե հույսով միացրած անջատիչ։