IPsec-gegnumstreymi á heimilisbeini: hvað það gerir í raun

Gegnumstreymisrofar beinisins eru framsendingarívilnanir fyrir tækið sem er fyrir aftan þá, ekki VPN-þjónustur. Þeir skrá beininn ekki sem biðlara, halda ekki auðkenni og ýta ekki hverju tæki á heimilinu í gegnum fjarlæga útgöngu. Það sem þeir gera er að móta hvernig ein samskiptaregla fer yfir vistfangsþýðinguna og síurnar. Þegar það er skýrt verður rofinn auðveldur að prófa og auðveldur að láta óvirkan.

Hvað beininn gerir í raun

Beininn situr milli biðlara og IPsec-jafningja og sendir áfram pakka sem hann var aldrei hannaður til að skilja. Framleiðendur útfæra eiginleikann á að minnsta kosti þrenna vegu: samskiptaregluaðstoðarmaður sem fylgist með eða endurskrifar stöðu, síuundantekning sem stöðvar að fleygja ESP, eða samhæfingarhamur ætlaður eldri biðlurum. Merkið í vefviðmótinu segir sjaldan hvaða þrennu þú hefur. Aðeins vélbúnaðarathugasemdir eða pakkaupptaka munu segja það.

Aðstoðarmaður getur líka gert illt verra. Hjálp skrifuð fyrir eldri straum truflar stundum biðlara sem þegar meðhöndlar þýðinguna rétt. Þegar nútímabiðlari virkar með valkostinn af, er betri uppsetning að láta hann vera af.

Gegnumstreymi gefur beininum aldrei lykla jafningjanna. Hann sér enn ytri vistföngin og gáttirnar og beitir enn eigin framsendingarstefnu á þær.

NAT og NAT-T ákveða leiðina

IPsec var ekki byggt til að lifa vistfangsþýðingu af, þess vegna bættu staðlarnir við umslagi. NAT-traversal umlykur ESP inni í UDP, sem gerir venjulegri NAT-töflu kleift að bera strauminn, og samningaviðræðurnar semja um þessa skiptingu í IKE (RFC 3948). IKE sjálft notar UDP 500, en umlukta leiðin notar venjulega UDP 4500.

Þess vegna nægir eldveggjarregla sem leyfir aðeins samskiptareglu 50 ekki á þýddri leið. Að loka á 4500 brýtur tilvikið sem umslagið er til fyrir, og að loka á 500 stöðvar samningaviðræðurnar áður en nokkur göng myndast. Báðar áttir skipta máli, því beinir með stöðueftirliti leyfir venjulega svarið aðeins eftir að hafa séð beiðnina. Að ná í gátt er ekki það sama og að ljúka auðkenningu, né að senda áfram varið umferð.

Eldri fyrirkomulag er nógu ólíkt til að leiðarvísir skrifaður fyrir þau geti villt um fyrir manni. Þegar biðlari býður báða hamina, prófaðu þann sem jafningi þinn skjalfestir en ekki þann sem hefur fleiri leitarniðurstöður.

Finndu stigið sem bregst

Skiptu vandamálinu í samningaviðræður, auðkenningu, vernd barns og innri framsendingu og safnaðu síðan sönnunargögnum fyrir eitt stig í einu. Endurræsing sem breytir niðurstöðunni tímabundið sannar aðeins að einhver staða hafi átt hlut að máli.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Upptakan sýnir hvort skiptin nái til jafningjans og hvort svör komi til baka, sem aðgreinir síuvandamál frá auðkennavandamáli. Stöðulistinn sýnir stofnuð öryggissamtengi, svo tómur listi eftir tilraun bendir til samningaviðræðna frekar en leiðar. Stefnulistinn sýnir hvaða valar eru uppsettir, og þar er áfangastaður utan undirnets útilokaður. Lestu báðar xfrm-úttakirnar áður en þú snertir beininn, því þær lýsa því sem hýsillinn telur, ekki því sem beininn leyfir.

Ef pakkar fara út og ekkert kemur til baka, færðu upptökuna á WAN-hlið beinisins. Samanburður upptakananna tveggja staðsetur brottfellinguna án þess að giska.

Slökktu á því sem þú þarft ekki

Ein virk fartölva sannar ekki að beininn þjóni nokkrum biðlurum í einu. Hver biðlari býr til eigin þýðingarstöðu og eigin samningaviðræður, og sumir aðstoðarmenn fylgjast aðeins með einum straumi. Prófaðu fjölda samtímis lota sem þú þarft í raun, frá netunum sem þú notar í raun. Ef annar biðlarinn mistekst meðan sá fyrsti dafnar, er það niðurstaðan en ekki óstöðug göng.

Hafðu valkostinn kveiktan aðeins þegar upptaka sýnir að hann þurfi. Skrifaðu vélbúnaðarútgáfuna við hlið niðurstöðunnar, því þessi hegðun breytist milli útgáfa. Markmiðið er biðlaragöng sem þú hefur sannreynt, ekki rofi sem þú kveiktir á í von.