IPsec ESP: hvað það flytur og hvernig sanna má að það streymi

ESP flytur umferðina í IPsec-VPN, og runbook þess byrjar á einni reglu: lestu öryggissamtökin áður en þú breytir stefnu. Mestar óútskýrðar hegðanir ESP rekja sig til vals sem passaði ekki, stillingar sem var gert ráð fyrir í stað þess að lesa hana, eða teljara sem enginn skoðaði meðan einu flæði var send. Þrjú skrefin hér að neðan staðfesta hvað flytur hvað, sanna að eitt flæði notar það og skilja eftir afturköllun sem er ekki háð minni. Hvert skref gefur eina athugun sem er þess virði að skrifa niður.

Þekktu reitina áður en þú lest þá

ESP setur haus fyrir framan vernduðu gögnin og eftirvagn aftan við þau. Hausinn ber öryggisbreytuvísitölu sem auðkennir hvaða samtök viðtakandinn á að nota, raðnúmer til að greina endurtekningar og í eftirvagninum fyllingu sem heldur notahlutanum jafnaðri fyrir dulritunina. Reitur næsta hauss í eftirvagninum segir hvað verndaða innihaldið er, og þannig veit viðtakandinn hvað hann afhjúpaði.

Stillingin breytir því sem er inni í þeirri vernd. Í gönguhætti er verndaða efnið heill innri IP-pakki, og nýr ytri haus flytur hann milli endapunkta. Í flutningshætti vefur verndin notahluta efri lagsins á pakka sem fyrir er, svo ekkert annar IP-haus er til að opna. Hvort stillingin er notuð er staðreynd um stillingar, ekki túlkunaratriði. Lestu hana úr stöðufærslunni í stað þess að álykta hana úr skýringarmynd.

Hvort tveggja stillinganna felur ekki ytri veikfangið sem verður að koma pakkanum til skila. Það er eiginleiki hönnunarinnar en ekki galli, og þess vegna getur milliliðaathugandi enn séð hver tvö veikföng tala saman jafnvel þótt notahlutinn sé ógegnsær.

Skref eitt: lestu stöðuna, síðan stefnuna

Stöðufærslurnar halda lyklunum og teljunum; stefnufærslurnar halda völunum sem ákvarða hvað má nota þau. Á Linux eru bæði sýnileg án pakkafanga, og að lesa þau í þeirri röð heldur tveimur spurningum aðskildum.

ip xfrm state
ip xfrm policy

Í stöðuúttakinu skaltu athuga uppruna og áfangastað samtakanna, stillinguna og hvort umbúðin sýni UDP-gáttir. Þessar gáttir þýða að NAT-yfirferð er notuð, sem breytir því hvað milliliða eldveggur verður að leyfa, en ekki hvaða valar eða lyklar gilda á endapunktunum.

Lestu síðan valana í stefnunni. Valur sem nefnir þrengra forskeyti en umferðin sem þú prófar er algengasta ástæðan fyrir því að virkt göng virðist hunsa flæði, og valur fyrir rangt samskiptareglur gefur sömu þögn.

Verkfæri framleiðenda prenta sömu upplýsingar í vingjarnlegra formi. ipsec statusall á strongSwan telur það upp barnasamtökin, valana þeirra og bætateljarana, sem er oft fljótlegra en að lesa hrátt xfrm-úttak þegar þú veist nú þegar hvaða barn á að skoða.

Skref tvö: sannaðu að eitt flæði hreyfir teljarana

Teljarar hafa aðeins merkingu ef þú veist hvað átti að hreyfa þá, svo veldu uppruna og áfangastað sem valurinn nær örugglega yfir og sendu eina skaðlausa beiðni. Lestu síðan sömu færsluna aftur og berðu saman.

ip -s xfrm state
tcpdump -ni any esp

Tvær lestrar segja ólíkar sögur. Pakkar sem fjölga á útleið en aldrei á innleið benda til vandamáls með framsendingu eða afturleið frekar en lykilvandamál, því pakkinn var umbúinn og fór. Ef enginn teljari hreyfist hefur umferðin aldrei passað við stefnuna, og valurinn er staðurinn til að skoða.

Fangið í sama skrefi staðfestir umbúðina á vírnum, þar á meðal hvort ytri pakkarnir eru ESP eða ESP umbúið í UDP. Það sýnir þér líka veikföngin sem fluttu flæðið í raun, og þau eru stundum frábrugðin þeim sem eru í stillingunni sem þú varst að lesa.

Skref þrjú: breyttu einu atriði og haltu afturköllun

Skrifaðu niður uppruna, áfangastað, stillingu, vala og teljara samtakanna áður en þú breytir nokkru. Ef breyting gerir ástandið verra er það skráin sem gerir þér kleift að endurheimta fyrra ástand í stað þess að byggja virka stillingu upp að nýju út frá ágiskun. Skráin tekur mínútu að skrifa og sparar klukkustund síðar. Hún er líka eina gerviefnið sem lifir manninn sem breytinguna gerði.

Breyttu einum vali eða einni breytu, hladu honum aftur og endurtaktu skref tvö á sama flæðinu. Að eyða samtökum rífur niður hvert flæði sem notar þau, svo markviss breyting og endurhleðsla barnsins eru næstum alltaf betri en að tæma stöðuna til að sjá hvað gerist.

Afturköllun fyrir breytingu vals er að endurheimta fyrri stefnu og hlaða henni aftur, með þeim fyrirvara að mótaðilinn gæti þurft samsvarandi breytingu ef valnum er samið um frekar en hann staðbundinn. Skrifaðu þá háðni niður meðan hún er fersk, því hálfendurheimt par er erfiðara að hugsa um en hvorugt tveggja lokastandanna.

Að lokum skaltu halda umfanginu heiðarlegu. Streymandi ESP-samtök sanna að gáttirnar tvær vernda og afhenda hlutið, og það segir ekkert um hvort forritið fyrir ofan auðkennir notendur sína eða dulritar það sem það geymir. Þetta eru aðskildar stýringar með aðskildum sönnunum, og runbookið er aðeins búið þegar næsti maður getur endurtekið það út frá athugasemdunum.