Hvernig leiðamiðað IPsec virkar með XFRM-viðmóti

Leiðamiðað IPsec felur leiðatöflunni ákvörðun sem stefnuvalar tóku áður. Á Linux er hlutinn sem gerir þetta kleift XFRM-viðmótið: sýndartæki þar sem umferð þess er pöruð við IPsec-stöðu með viðmótsauðkenni í stað vals. Að búa eitt til tekur eina skipun og sannar ekkert um hvort göng séu til. Tækið er krókur milli leiðsagnar og öryggisstefnu, og báðar hliðar þess króks verða að vera stilltar áður en eitthvað er varið.

Hvað tækið er og hvað það er ekki

XFRM-viðmót er leiðsagnarhandfang. Pakkar sem eru leiddir inn í það eru pöruð við XFRM-stefnur sem vísa á sama viðmótsauðkenni, og ef stefna og staða eru til eru þau hjúpuð. Án þeirra er viðmótið til, teljararnir standa kyrrir og umferðin fer eitthvert gagnslaust.

Þetta er fyrsta greiningarleg skiptingin. Leið inn í tækið er leiðsagnarstaðreynd, uppsett staða er öryggisstaðreynd, og teljari sem hækkar á tækinu er hvorugt. Þegar fólk segir að göngin séu uppi því viðmótið sýnir UP, lýsir það tengingarfánum sýndartækis sem hefur engan eigin maka. Fáninn þýðir að tækið var búið til og virkjað, ekkert meira.

Ein mörk enn: viðmótsauðkennið er ekki nafn. Tvö tæki með svipuð nöfn og ólík auðkenni deila ekki stöðu, og tenging sem stillt er með röngu auðkenni setur upp stöðu sem engin leið mun nokkurn tíma nota.

Byggðu eitt í réttri röð

Byrjaðu á ytra tækinu og tölu sem þú setur líka í stillingar daemonsins. Dæmið notar eth0 sem ytra viðmót og 42 sem auðkenni, heimilisföng sem þú ættir að skipta út fyrir þín eigin.

Ræstu tækið og staðfestu síðan auðkennið sem kjarninn skráði áður en þú snertir VPN-stillinguna:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Stilltu nú tenginguna í strongSwan með sama auðkenni, því daemoninn verður að setja upp stefnur og stöður sem vísa á það. Stilltu staðbundna og fjarlæga umferðarvala á bilið sem þú ætlar að leiða, og leiddu það bil síðan inn í tækið. Stilling daemonsins og leiðataflan verða að vera sammála um bæði auðkennið og áfangastaðina, og hvorugt gefur hitt.

Haltu IKE og ESP utan gönguleiðarinnar

Sjálfgefin leið sem vísar inn í XFRM-tækið grípur hjúpuðu pakkana auk umferðarinnar sem þeir bera. Niðurstaðan er lykkja: gáttin reynir að senda eigið ESP um göngin sem ESP á að byggja.

Lausnin er sértækari leið fyrir ytra heimilisfang makans um líkamlega viðmótið, sem vinnur á sjálfgefnu leiðinni því hún passar fleiri bitum. Merkjamiðuð leiðsögn gerir sama verk þegar nokkur göng deila töflu, og strongSwan skjalfestir báðar nálganir fyrir leiðamiðaðar uppsetningar.

Hvað sem þú velur, staðfestu að ytri pakkinn fari út óhjúpaður. Fljótleg athugun er að pinga ytra heimilisfang makans eftir að göngin eru uppi; ef það mistekst meðan viðmótið er uppi, grunaðu handtöku frekar en aðgengi. Sama röksemd á við IKE-portið, því eigin UDP-umferð daemonsins má ekki vera leidd inn í tækið sem það er að reyna að koma á.

Athugaðu teljarana á tveimur stöðum áður en þú kennir dulkóðuninni um

Viðmótsteljarar og stöðuteljarar mæla ólík stig. Pakkar sem eru leiddir inn í tækið hækka teljara tækisins jafnvel þó engin staða passi, en stöðuteljararnir hreyfast aðeins fyrir umferð sem var í raun hjúpuð.

Lestu bæði og lestu síðan sýn daemonsins á barnatengingu:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Hækkandi teljarar tækisins með tóma stöðuútkomu þýða að leiðsögn virki og stefnan passi ekki, venjulega villa í auðkenni eða vali. Hækkandi stöðuteljarar meðan fjarlæga hliðin tilkynnir ekkert þýða að pakkarnir fari út en berist ekki eða standist ekki auðkenningu, sem bendir á slóðina eða stillingu makans. Skráð barnatenging með núll umferð er valvandamál á öðrum endanum, ekki brotin dulritun.

Ákveddu hver setur upp leiðirnar

Tveir eigendur að einni leiðatöflu eru venjulega uppspretta titrings. Ef daemoninn setur leiðir upp sjálfkrafa má netstjórinn þinn ekki líka setja upp sjálfgefna leið um sama tæki, og handvirk leið sem ræsingarskript bætir við verður fjarlægð næst þegar daemoninn stillir upp á ný.

Veldu einn eiganda og skrifaðu það niður. Þegar daemoninn á leiðirnar skaltu halda ræsingarskriptinu utan töflunnar og láta tengiskilgreininguna lýsa umferðarvalunum. Þegar netstjórinn á þær skaltu slökkva á sjálfvirkri uppsetningu og sætta þig við að daemoninn lagfærir ekki leið sem vantar við endurtengingu.

Reglur um framsendingu og eldvegg eru sérstök ákvörðun ofan á þetta, því gátt sem hleypir umferð annarra hýsla þarf bæði. Leiðamiðað IPsec gerir þá umferð auðvelda að tjá með venjulegum leiðsagnartókum; það gerir stefnulaginu ekki valfrjálst.