Үй роутеріндегі IPsec өткізу: ол шын мәнінде не істейді

Роутердің өткізу ажыратқыштары олардың артындағы құрылғыға берілетін бағыттау жеңілдіктері, VPN қызметтері емес. Олар роутерді клиент ретінде тіркемейді, тіркелгі деректерін сақтамайды және үйдегі әрбір құрылғыны қашықтағы шығу арқылы өткізбейді. Олар істейтіні — бір протоколдың мекенжай аударымы мен сүзгілерден қалай өтетінін қалыптастыру. Бұл айқын болғанда, ажыратқышты тексеру де, өшірулі қалдыру да оңай.

Роутер шын мәнінде не істейді

Роутер клиент пен IPsec серіктесінің арасында тұрады және түсінуге ешқашан арналмаған пакеттерді жібереді. Өндірушілер бұл функцияны кемінде үш тәсілмен іске асырады: күйді бақылайтын немесе қайта жазатын протокол көмекшісі, ESP-нің тасталуын тоқтататын сүзгі ерекшелігі немесе ескі клиенттерге арналған үйлесімділік режимі. Веб-интерфейстегі жазу үшеуінің қайсысы сізде екенін сирек айтады. Мұны тек firmware жазбалары немесе пакеттерді жазу көрсетеді.

Көмекші істі нашарлатуы да мүмкін. Ескі ағынға жазылған көмек кейде аударымды дұрыс өңдеп жатқан клиентке кедергі келтіреді. Заманауи клиент опция өшірулі күйде жұмыс істесе, оны өшірулі қалдыру жақсырақ конфигурация.

Өткізу роутерге серіктестердің кілттерін ешқашан бермейді. Ол әлі де сыртқы мекенжайлар мен порттарды көреді және оларға өзінің бағыттау саясатын қолданады.

NAT және NAT-T жолды шешеді

IPsec мекенжай аударымынан аман өту үшін жасалмаған, сондықтан стандарттар қабықша қосты. NAT traversal ESP-ні UDP ішіне орап, қарапайым NAT кестесіне ағынды тасуға мүмкіндік береді, ал келіссөз IKE кезінде осы ауысуға келіседі (RFC 3948). IKE өзі UDP 500 қолданады, ал оралған жол әдетте UDP 4500 қолданады.

Сондықтан тек 50 протоколына рұқсат беретін firewall ережесі аударылған жолда жеткіліксіз. 4500-ді блоктау қабықша бар болуының себебі болған жағдайды бұзады, ал 500-ді блоктау кез келген туннель пайда болмай тұрып келіссөзді тоқтатады. Екі бағыт та маңызды, өйткені күйді бақылайтын роутер әдетте сұранысты көргеннен кейін ғана жауапқа рұқсат береді. Портқа жету аутентификацияны аяқтаумен бірдей емес, қорғалған трафикті жіберумен де бірдей емес.

Ескі құрылымдар айтарлықтай өзгеше, сондықтан олар үшін жазылған нұсқаулық жаңылыстыруы мүмкін. Клиент екі режимді де ұсынса, көбірек іздеу нәтижесі барды емес, серіктесіңіз құжаттаған режимді тексеріңіз.

Сәтсіз кезеңді табыңыз

Мәселені келіссөзге, аутентификацияға, еншілес қорғанысқа және ішкі бағыттауға бөліп, содан кейін бір кезеңге дәлел жинаңыз. Нәтижені уақытша өзгертетін қайта жүктеу қандай да бір күйдің қатысқанын ғана дәлелдейді.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Жазу алмасудың серіктеске жететінін және жауаптардың қайтатынын көрсетеді, бұл сүзгі мәселесін тіркелгі деректері мәселесінен ажыратады. Күй тізімі орнатылған қауіпсіздік ассоциацияларын көрсетеді, сондықтан әрекеттен кейінгі бос тізім маршруттауға емес, келіссөзге меңзейді. Саясат тізімі қандай селекторлардың орнатылғанын көрсетеді, және дәл сол жерде ішкі желіден тыс межелі орын алынып тасталады. Роутерге қол тигізбес бұрын xfrm-нің екі шығысын да оқыңыз, өйткені олар роутер нені рұқсат ететінін емес, хост нені деп білетінін сипаттайды.

Егер пакеттер шығып, ештеңе қайтпаса, жазуды роутердің WAN жағына көшіріңіз. Екі жазуды салыстыру тасталған жерді болжамсыз анықтайды.

Қажет емесін өшіріңіз

Бір жұмыс істеп тұрған ноутбук роутердің бірнеше клиентті бір уақытта қамтитынын дәлелдемейді. Әр клиент өзінің аударым күйін және өзінің келіссөзін жасайды, ал кейбір көмекшілер тек бір ағынды бақылайды. Сізге шын мәнінде қажет бір мезгілдегі сессиялар санын шын мәнінде пайдаланатын желілерден тексеріңіз. Егер біріншісі гүлдеп тұрғанда екінші клиент сәтсіз болса, бұл — табылған нәрсе, тұрақсыз туннель емес.

Опцияны тек жазу қажет екенін көрсеткенде ғана қосулы ұстаңыз. Нәтиженің жанына firmware нұсқасын жазыңыз, өйткені бұл мінез-құлықтар шығарылымдар арасында өзгереді. Мақсат — сіз тексерген клиент туннелі, үмітпен қосылған ажыратқыш емес.