IPsec-ის გავლა სახლის როუტერზე: რას აკეთებს ის სინამდვილეში

როუტერის გავლის გადამრთველები მათ უკან მდგარი მოწყობილობისთვის გადამისამართების დათმობებია და არა VPN სერვისები. ისინი როუტერს კლიენტად არ არეგისტრირებენ, რწმუნებებს არ ინახავენ და სახლის ყველა მოწყობილობას დისტანციური გასასვლელით არ ატარებენ. რასაც ისინი აკეთებენ, ეს არის იმის ფორმირება, თუ როგორ კვეთს ერთი პროტოკოლი მისამართების თარგმანსა და ფილტრებს. როცა ეს ნათელია, გადამრთველი ადვილი შესამოწმებელია და ადვილი გამორთული დასატოვებელი.

რას აკეთებს როუტერი სინამდვილეში

როუტერი დგას კლიენტსა და IPsec პარტნიორს შორის და გადასცემს პაკეტებს, რომელთა გაგებაზე ის არასდროს ყოფილა გათვლილი. მწარმოებლები ფუნქციას სულ ცოტა სამი გზით ახორციელებენ: პროტოკოლის დამხმარე, რომელიც მდგომარეობას ადევნებს ან თავიდან წერს; ფილტრის გამონაკლისი, რომელიც ESP-ის გადაგდებას წყვეტს; ან თავსებადობის რეჟიმი ძველი კლიენტებისთვის. ვებ ინტერფეისის ეტიკეტი იშვიათად ამბობს, სამიდან რომელი გაქვთ. ამას მხოლოდ firmware-ის შენიშვნები ან პაკეტების ჩაწერა იტყვის.

დამხმარემ შეიძლება საქმე გააუარესოს. ძველი ნაკადისთვის დაწერილი დახმარება ზოგჯერ ხელს უშლის კლიენტს, რომელიც თარგმანს უკვე სწორად ამუშავებს. როცა თანამედროვე კლიენტი ოფციის გამორთვით მუშაობს, უკეთესი კონფიგურაციაა ის გამორთული დატოვოთ.

გავლა არასდროს აძლევს როუტერს პარტნიორების გასაღებებს. ის კვლავ ხედავს გარე მისამართებსა და პორტებს და კვლავ იყენებს მათზე საკუთარ გადამისამართების პოლიტიკას.

NAT და NAT-T გზას წყვეტენ

IPsec არ აშენდა მისამართების თარგმანის გადასატანად, ამიტომ სტანდარტებმა გარსი დაამატეს. NAT traversal ESP-ს UDP-ის შიგნით ახვევს, რაც ჩვეულებრივ NAT ცხრილს ნაკადის ტარების საშუალებას აძლევს, და მოლაპარაკება ამ გადართვაზე IKE-ის დროს თანხმდება (RFC 3948). თავად IKE იყენებს UDP 500-ს, ხოლო შეფუთული გზა ჩვეულებრივ UDP 4500-ს იყენებს.

ამიტომ მხოლოდ 50 პროტოკოლის დამრთველი firewall წესი არ კმარა თარგმნილ გზაზე. 4500-ის დაბლოკვა ამსხვრევს იმ შემთხვევას, რომლისთვისაც გარსი არსებობს, ხოლო 500-ის დაბლოკვა აჩერებს მოლაპარაკებას ნებისმიერი გვირაბის წარმოქმნამდე. ორივე მიმართულება მნიშვნელოვანია, რადგან მდგომარეობის მთვლელი როუტერი ჩვეულებრივ პასუხს მხოლოდ მოთხოვნის დანახვის შემდეგ უშვებს. პორტამდე მისვლა არ არის იგივე, რაც აუთენტიფიკაციის დასრულება, და არც დაცული ტრაფიკის გადაცემა.

ძველი წყობები საკმარისად განსხვავდება, რომ მათთვის დაწერილი სახელმძღვანელო შეიძლება შეცდომაში შეიყვანოს. როცა კლიენტი ორივე რეჟიმს გვთავაზობს, შეამოწმეთ ის, რომელსაც თქვენი პარტნიორი ადასტურებს და არა ის, რომელსაც მეტი ძიების შედეგი აქვს.

იპოვეთ წარუმატებელი ეტაპი

დაყავით პრობლემა მოლაპარაკებად, აუთენტიფიკაციად, შვილობილი კავშირის დაცვად და შიდა გადაცემად, შემდეგ შეაგროვეთ მტკიცებულებები ერთი ეტაპისთვის ყოველ ჯერზე. გადატვირთვა, რომელიც შედეგს დროებით ცვლის, მხოლოდ იმას ამტკიცებს, რომ რაღაც მდგომარეობა იყო ჩართული.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

ჩაწერა აჩვენებს, აღწევს თუ არა გაცვლა პარტნიორამდე და ბრუნდება თუ არა პასუხები, რაც ფილტრის პრობლემას რწმუნებების პრობლემისგან გამოყოფს. მდგომარეობის სია აჩვენებს დამყარებულ უსაფრთხოების ასოციაციებს, ამიტომ ცდის შემდეგ ცარიელი სია მოლაპარაკებაზე მიუთითებს და არა მარშრუტიზაციაზე. პოლიტიკის სია აჩვენებს, რომელი სელექტორებია დაყენებული, და სწორედ იქ გამოირიცხება ქვექსელის გარეთ მდებარე დანიშნულება. წაიკითხეთ xfrm-ის ორივე გამოსავალი როუტერზე შეხებამდე, რადგან ისინი აღწერენ, რასაც ჰოსტი ფიქრობს და არა რასაც როუტერი უშვებს.

თუ პაკეტები გადის და არაფერი ბრუნდება, გადაიტანეთ ჩაწერა როუტერის WAN მხარეს. ორი ჩაწერის შედარება ჩავარდნის ადგილს გამოცნობის გარეშე ადგენს.

გამორთეთ ის, რაც არ გჭირდებათ

ერთი მუშა ლეპტოპი არ ამტკიცებს, რომ როუტერი რამდენიმე კლიენტს ერთდროულად ემსახურება. ყოველი კლიენტი ქმნის საკუთარ თარგმანის მდგომარეობას და საკუთარ მოლაპარაკებას, და ზოგი დამხმარე მხოლოდ ერთ ნაკადს ადევნებს. შეამოწმეთ ერთდროული სესიების რაოდენობა, რომელიც ნამდვილად გჭირდებათ, იმ ქსელებიდან, რომლებსაც ნამდვილად იყენებთ. თუ მეორე კლიენტი ვარდება, სანამ პირველი ყვავის, ეს არის აღმოჩენა და არა მერყევი გვირაბი.

დატოვეთ ოფცია ჩართული მხოლოდ მაშინ, როცა ჩაწერა აჩვენებს, რომ საჭიროა. ჩაწერეთ firmware-ის ვერსია შედეგის გვერდით, რადგან ეს ქცევები გამოშვებებს შორის იცვლება. მიზანი თქვენ მიერ შემოწმებული კლიენტის გვირაბია და არა იმედით ჩართული გადამრთველი.