IPsec ESP: ಅದು ಏನನ್ನು ಒಯ್ಯುತ್ತದೆ ಮತ್ತು ಅದು ಹರಿಯುತ್ತಿದೆ ಎಂದು ಹೇಗೆ ಸಾಬೀತುಪಡಿಸುವುದು
ESP ಟನಲ್ ಮೋಡ್ನಲ್ಲಿ ಒಳಗಿನ IP ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಸುತ್ತುತ್ತದೆ ಮತ್ತು SPI ಮೂಲಕ ತನ್ನ ಸಂಘವನ್ನು ಗುರುತಿಸುತ್ತದೆ. ಸ್ಥಿತಿಯನ್ನು ಓದಿ, ನಂತರ ಒಂದು ಹರಿವು ಕೌಂಟರ್ಗಳನ್ನು ಹೇಗೆ ಚಲಿಸುತ್ತದೆ ಎಂದು ನೋಡಿ.
ESP IPsec VPN ನಲ್ಲಿ ಸಂಚಾರವನ್ನು ಒಯ್ಯುತ್ತದೆ, ಮತ್ತು ಅದರ runbook ಒಂದು ನಿಯಮದಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ: ನೀತಿಯನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಭದ್ರತಾ ಸಂಘವನ್ನು ಓದಿ. ESP ಯ ವಿವರಿಸಲಾಗದ ನಡವಳಿಕೆಯ ಬಹುಪಾಲು ಹೊಂದಿಕೆಯಾಗದ ಆಯ್ಕೆಗೆ, ಓದುವ ಬದಲು ಊಹಿಸಲಾದ ಮೋಡ್ಗೆ, ಅಥವಾ ಒಂದು ಹರಿವು ಕಳುಹಿಸಲ್ಪಡುತ್ತಿರುವಾಗ ಯಾರೂ ಪರಿಶೀಲಿಸದ ಕೌಂಟರ್ಗೆ ಮರಳುತ್ತದೆ. ಕೆಳಗಿನ ಮೂರು ಹಂತಗಳು ಯಾವುದು ಯಾವುದನ್ನು ಒಯ್ಯುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ, ಒಂದು ಹರಿವು ಅದನ್ನು ಬಳಸುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತವೆ ಮತ್ತು ನೆನಪಿನ ಮೇಲೆ ಅವಲಂಬಿತವಲ್ಲದ ಹಿಂತಿರುಗಿಸುವಿಕೆಯನ್ನು ಬಿಡುತ್ತವೆ. ಪ್ರತಿ ಹಂತವೂ ಬರೆಯಲು ಯೋಗ್ಯವಾದ ಒಂದು ಅವಲೋಕನವನ್ನು ನೀಡುತ್ತದೆ.
ಓದುವ ಮೊದಲು ಕ್ಷೇತ್ರಗಳನ್ನು ತಿಳಿಯಿರಿ
ESP ರಕ್ಷಿಸಿದ ಡೇಟಾದ ಮುಂದೆ ಹೆಡರ್ ಮತ್ತು ಹಿಂದೆ ಟ್ರೇಲರ್ ಇಡುತ್ತದೆ. ಹೆಡರ್ ಸ್ವೀಕರಿಸುವವರು ಯಾವ ಸಂಘವನ್ನು ಬಳಸಬೇಕು ಎಂಬುದನ್ನು ಗುರುತಿಸುವ ಭದ್ರತಾ ಪರಿಮಾಣ ಸೂಚಿಯನ್ನು, ಮರುಪಂದ್ಯ ಪತ್ತೆಗಾಗಿ ಕ್ರಮ ಸಂಖ್ಯೆಯನ್ನು ಒಯ್ಯುತ್ತದೆ, ಮತ್ತು ಟ್ರೇಲರ್ನಲ್ಲಿ ಸೈಫರ್ಗಾಗಿ ಪೇಲೋಡ್ ಅನ್ನು ಜೋಡಿಸಿಡುವ ಪ್ಯಾಡಿಂಗ್ ಇರುತ್ತದೆ. ಟ್ರೇಲರ್ನ ಮುಂದಿನ ಹೆಡರ್ ಕ್ಷೇತ್ರವು ರಕ್ಷಿತ ವಿಷಯ ಏನೆಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಹೀಗೆ ಸ್ವೀಕರಿಸುವವರು ಏನನ್ನು ಡೀಕ್ಯಾಪ್ಸುಲೇಟ್ ಮಾಡಿದೆ ಎಂದು ತಿಳಿಯುತ್ತಾರೆ.
ಮೋಡ್ ಆ ರಕ್ಷಣೆಯ ಒಳಗೆ ಏನು ಇರುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಿಸುತ್ತದೆ. ಟನಲ್ ಮೋಡ್ನಲ್ಲಿ ರಕ್ಷಿತ ವಸ್ತು ಪೂರ್ಣ ಒಳಗಿನ IP ಪ್ಯಾಕೆಟ್, ಮತ್ತು ಹೊಸ ಹೊರಗಿನ ಹೆಡರ್ ಅದನ್ನು ಎರಡು ತುದಿಗಳ ನಡುವೆ ಒಯ್ಯುತ್ತದೆ. ಸಾಗಣೆ ಮೋಡ್ನಲ್ಲಿ ರಕ್ಷಣೆಯು ಇರುವ ಪ್ಯಾಕೆಟ್ನ ಮೇಲಿನ ಪದರದ ಪೇಲೋಡ್ ಅನ್ನು ಸುತ್ತುತ್ತದೆ, ಆದ್ದರಿಂದ ತೆರೆಯಲು ಎರಡನೇ IP ಹೆಡರ್ ಇಲ್ಲ. ಯಾವ ಮೋಡ್ ಬಳಕೆಯಲ್ಲಿದೆ ಎಂಬುದು ಸಂರಚನೆಯ ಸತ್ಯ, ವ್ಯಾಖ್ಯಾನದ ವಿಷಯವಲ್ಲ. ರೇಖಾಚಿತ್ರದಿಂದ ಊಹಿಸದೆ ಸ್ಥಿತಿ ನಮೂದಿನಿಂದ ಓದಿ.
ಎರಡೂ ಮೋಡ್ಗಳಲ್ಲಿ ಯಾವುದೂ ಪ್ಯಾಕೆಟ್ ತಲುಪಿಸಬೇಕಾದ ಹೊರಗಿನ ವಿಳಾಸವನ್ನು ಮರೆಮಾಡುವುದಿಲ್ಲ. ಅದು ವಿನ್ಯಾಸದ ಗುಣಲಕ್ಷಣ, ಕೊರತೆ ಅಲ್ಲ, ಮತ್ತು ಆದ್ದರಿಂದ ಪೇಲೋಡ್ ಅಪಾರದರ್ಶಕವಾಗಿದ್ದರೂ ಮಧ್ಯದ ವೀಕ್ಷಕರು ಯಾವ ಎರಡು ವಿಳಾಸಗಳು ಮಾತನಾಡುತ್ತಿವೆ ಎಂದು ಇನ್ನೂ ನೋಡಬಹುದು.
ಹಂತ ಒಂದು: ಸ್ಥಿತಿಯನ್ನು ಓದಿ, ನಂತರ ನೀತಿ
ಸ್ಥಿತಿ ನಮೂದುಗಳು ಕೀಗಳನ್ನು ಮತ್ತು ಕೌಂಟರ್ಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತವೆ; ನೀತಿ ನಮೂದುಗಳು ಅವುಗಳನ್ನು ಯಾರು ಬಳಸಬಹುದು ಎಂದು ನಿರ್ಧರಿಸುವ ಆಯ್ಕೆಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತವೆ. Linux ನಲ್ಲಿ ಎರಡೂ ಪ್ಯಾಕೆಟ್ ಸೆರೆಹಿಡಿಯದೆ ಕಾಣುತ್ತವೆ, ಮತ್ತು ಆ ಕ್ರಮದಲ್ಲಿ ಓದುವುದು ಎರಡು ಪ್ರಶ್ನೆಗಳನ್ನು ಬೇರೆಯಾಗಿ ಇಡುತ್ತದೆ.
ip xfrm state
ip xfrm policyಸ್ಥಿತಿ ಔಟ್ಪುಟ್ನಲ್ಲಿ ಸಂಘದ ಮೂಲ ಮತ್ತು ಗಮ್ಯವನ್ನು, ಮೋಡ್ ಅನ್ನು, ಮತ್ತು ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ UDP ಪೋರ್ಟ್ಗಳನ್ನು ತೋರಿಸುತ್ತದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಆ ಪೋರ್ಟ್ಗಳು NAT ಟ್ರಾವರ್ಸಲ್ ಬಳಕೆಯಲ್ಲಿದೆ ಎಂದು ಅರ್ಥ, ಇದು ಮಧ್ಯದ ಫೈರ್ವಾಲ್ ಏನನ್ನು ಅನುಮತಿಸಬೇಕು ಎಂಬುದನ್ನು ಬದಲಿಸುತ್ತದೆ, ಆದರೆ ತುದಿಗಳಲ್ಲಿ ಯಾವ ಆಯ್ಕೆಗಳು ಅಥವಾ ಕೀಗಳು ಅನ್ವಯವಾಗುತ್ತವೆ ಎಂಬುದನ್ನಲ್ಲ.
ನಂತರ ನೀತಿಯಲ್ಲಿನ ಆಯ್ಕೆಗಳನ್ನು ಓದಿ. ನೀವು ಪರೀಕ್ಷಿಸುತ್ತಿರುವ ಸಂಚಾರಕ್ಕಿಂತ ಸಣ್ಣ ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಹೆಸರಿಸುವ ಆಯ್ಕೆಯೇ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಟನಲ್ ಹರಿವನ್ನು ನಿರ್ಲಕ್ಷಿಸುತ್ತಿರುವಂತೆ ಕಾಣುವ ಸಾಮಾನ್ಯ ಕಾರಣ, ಮತ್ತು ತಪ್ಪು ಪ್ರೋಟೋಕಾಲ್ನ ಆಯ್ಕೆ ಅದೇ ಮೌನವನ್ನು ನೀಡುತ್ತದೆ.
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
ಮಾರಾಟಗಾರರ ಉಪಕರಣಗಳು ಅದೇ ಮಾಹಿತಿಯನ್ನು ಹೆಚ್ಚು ಅನುಕೂಲಕರ ರೂಪದಲ್ಲಿ ಮುದ್ರಿಸುತ್ತವೆ. ipsec statusall strongSwan ನಲ್ಲಿ ಅದು ಚೈಲ್ಡ್ ಸಂಘಗಳನ್ನು, ಅವುಗಳ ಆಯ್ಕೆಗಳನ್ನು ಮತ್ತು ಬೈಟ್ ಕೌಂಟರ್ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಯಾವ ಚೈಲ್ಡ್ ನೋಡಬೇಕು ಎಂದು ಈಗಾಗಲೇ ತಿಳಿದಿದ್ದರೆ ಇದು ಕಚ್ಚಾ xfrm ಔಟ್ಪುಟ್ ಓದುವುದಕ್ಕಿಂತ ಹೆಚ್ಚಾಗಿ ವೇಗವಾಗಿರುತ್ತದೆ.
ಹಂತ ಎರಡು: ಒಂದು ಹರಿವು ಕೌಂಟರ್ಗಳನ್ನು ಚಲಿಸುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಿ
ಕೌಂಟರ್ಗಳು ಅವುಗಳನ್ನು ಯಾವುದು ಚಲಿಸಬೇಕಿತ್ತು ಎಂದು ತಿಳಿದಿದ್ದರೆ ಮಾತ್ರ ಅರ್ಥಪೂರ್ಣ, ಆದ್ದರಿಂದ ಆಯ್ಕೆಯು ಖಚಿತವಾಗಿ ಆವರಿಸುವ ಮೂಲ ಮತ್ತು ಗಮ್ಯವನ್ನು ಆರಿಸಿ ಮತ್ತು ಒಂದು ಹಾನಿಕರವಲ್ಲದ ವಿನಂತಿ ಕಳುಹಿಸಿ. ನಂತರ ಅದೇ ನಮೂದನ್ನು ಮತ್ತೆ ಓದಿ ಹೋಲಿಸಿ.
ip -s xfrm state
tcpdump -ni any espಎರಡು ಓದುವಿಕೆಗಳು ಬೇರೆ ಕಥೆಗಳನ್ನು ಹೇಳುತ್ತವೆ. ಹೊರಕ್ಕೆ ಹೋಗುವ ಬದಿಯಲ್ಲಿ ಹೆಚ್ಚಾಗಿ ಒಳಬರುವ ಬದಿಯಲ್ಲಿ ಎಂದಿಗೂ ಹೆಚ್ಚದ ಪ್ಯಾಕೆಟ್ಗಳು ಕೀ ಸಮಸ್ಯೆಯ ಬದಲು ಮರುನಿರ್ದೇಶನ ಅಥವಾ ಹಿಂತಿರುಗುವ ಮಾರ್ಗದ ಸಮಸ್ಯೆಯನ್ನು ಸೂಚಿಸುತ್ತವೆ, ಏಕೆಂದರೆ ಪ್ಯಾಕೆಟ್ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಟ್ ಆಗಿ ಹೊರಟುಹೋಯಿತು. ಯಾವ ಕೌಂಟರ್ ಚಲಿಸದಿದ್ದರೆ ಸಂಚಾರವು ನೀತಿಗೆ ಎಂದಿಗೂ ಹೊಂದಲಿಲ್ಲ, ಮತ್ತು ಆಯ್ಕೆಯೇ ನೋಡಬೇಕಾದ ಸ್ಥಳ.
ಅದೇ ಹಂತದಲ್ಲಿನ ಸೆರೆಹಿಡಿಯುವಿಕೆ ತಂತಿಯ ಮೇಲಿನ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಅನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ, ಹೊರಗಿನ ಪ್ಯಾಕೆಟ್ಗಳು ESP ಆಗಿವೆಯೇ ಅಥವಾ UDP ನಲ್ಲಿ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಟ್ ಆದ ESP ಆಗಿವೆಯೇ ಎಂಬುದೂ ಸೇರಿದಂತೆ. ಅದು ಹರಿವನ್ನು ನಿಜವಾಗಿ ಒಯ್ದ ವಿಳಾಸಗಳನ್ನೂ ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಅವು ಕೆಲವೊಮ್ಮೆ ನೀವು ಓದುತ್ತಿದ್ದ ಸಂರಚನೆಯಲ್ಲಿನವುಗಳಿಗಿಂತ ಭಿನ್ನವಾಗಿರುತ್ತವೆ.
ಹಂತ ಮೂರು: ಒಂದು ವಿಷಯವನ್ನು ಬದಲಿಸಿ ಮತ್ತು ಹಿಂತಿರುಗಿಸುವಿಕೆಯನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ
ಏನನ್ನಾದರೂ ಸಂಪಾದಿಸುವ ಮೊದಲು ಸಂಘದ ಮೂಲ, ಗಮ್ಯ, ಮೋಡ್, ಆಯ್ಕೆಗಳು ಮತ್ತು ಕೌಂಟರ್ಗಳನ್ನು ದಾಖಲಿಸಿ. ಒಂದು ಬದಲಾವಣೆ ಪರಿಸ್ಥಿತಿಯನ್ನು ಕೆಡಿಸಿದರೆ, ಆ ದಾಖಲೆಯೇ ಊಹೆಯಿಂದ ಕೆಲಸ ಮಾಡುವ ಸಂರಚನೆಯನ್ನು ಮತ್ತೆ ಕಟ್ಟುವ ಬದಲು ಹಿಂದಿನ ಸ್ಥಿತಿಯನ್ನು ಮರುಸ್ಥಾಪಿಸಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ. ಆ ದಾಖಲೆ ಬರೆಯಲು ಒಂದು ನಿಮಿಷ ತೆಗೆದುಕೊಂಡು ನಂತರ ಒಂದು ಗಂಟೆ ಉಳಿಸುತ್ತದೆ. ಬದಲಾವಣೆ ಮಾಡಿದ ವ್ಯಕ್ತಿಯ ನಂತರ ಉಳಿಯುವ ಏಕೈಕ ಕಲಾಕೃತಿಯೂ ಅದೇ.
ಒಂದು ಆಯ್ಕೆ ಅಥವಾ ಒಂದು ಪರಿಮಾಣವನ್ನು ಬದಲಿಸಿ, ಅದನ್ನು ಮರುಲೋಡ್ ಮಾಡಿ, ಮತ್ತು ಅದೇ ಹರಿವಿನ ಮೇಲೆ ಎರಡನೇ ಹಂತವನ್ನು ಪುನರಾವರ್ತಿಸಿ. ಸಂಘವನ್ನು ಅಳಿಸುವುದು ಅದನ್ನು ಬಳಸುವ ಪ್ರತಿಯೊಂದು ಹರಿವನ್ನೂ ಉರುಳಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಗುರಿಪಡಿಸಿದ ಸಂಪಾದನೆ ಮತ್ತು ಚೈಲ್ಡ್ ಮರುಲೋಡ್ ಏನಾಗುತ್ತದೆ ಎಂದು ನೋಡಲು ಸ್ಥಿತಿಯನ್ನು ಖಾಲಿ ಮಾಡುವುದಕ್ಕಿಂತ ಬಹುತೇಕ ಯಾವಾಗಲೂ ಉತ್ತಮ.
ಆಯ್ಕೆ ಸಂಪಾದನೆಗೆ ಹಿಂತಿರುಗಿಸುವಿಕೆ ಎಂದರೆ ಹಿಂದಿನ ನೀತಿಯನ್ನು ಮರುಸ್ಥಾಪಿಸಿ ಮರುಲೋಡ್ ಮಾಡುವುದು, ಆಯ್ಕೆಯು ಸ್ಥಳೀಯವಲ್ಲದೆ ಮಾತುಕತೆಯಿಂದ ನಿರ್ಧಾರವಾದರೆ ಸಹವರ್ತಿಗೆ ಹೊಂದುವ ಬದಲಾವಣೆ ಬೇಕಾಗಬಹುದು ಎಂಬ ಷರತ್ತಿನೊಂದಿಗೆ. ಆ ಅವಲಂಬನೆಯನ್ನು ಅದು ತಾಜಾವಾಗಿರುವಾಗಲೇ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಅರ್ಧ ಮರುಸ್ಥಾಪಿತ ಜೋಡಿಯನ್ನು ಎರಡು ಅಂತಿಮ ಸ್ಥಿತಿಗಳಲ್ಲಿ ಯಾವುದಕ್ಕೂ ಹೆಚ್ಚು ಯೋಚಿಸುವುದು ಕಷ್ಟ.
ಕೊನೆಯದಾಗಿ, ವ್ಯಾಪ್ತಿಯನ್ನು ಪ್ರಾಮಾಣಿಕವಾಗಿ ಇಡಿ. ಹರಿಯುತ್ತಿರುವ ESP ಸಂಘವು ಎರಡು ಗೇಟ್ವೇಗಳು ವಿಭಾಗವನ್ನು ರಕ್ಷಿಸಿ ತಲುಪಿಸುತ್ತಿವೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಮೇಲಿನ ಅನ್ವಯವು ತನ್ನ ಬಳಕೆದಾರರನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆಯೇ ಅಥವಾ ಸಂಗ್ರಹಿಸುವುದನ್ನು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ಏನೂ ಹೇಳುವುದಿಲ್ಲ. ಅವು ಬೇರೆ ಸಾಕ್ಷ್ಯಗಳಿರುವ ಬೇರೆ ನಿಯಂತ್ರಣಗಳು, ಮತ್ತು runbook ಮುಂದಿನ ವ್ಯಕ್ತಿ ಟಿಪ್ಪಣಿಗಳಿಂದ ಅದನ್ನು ಪುನರಾವರ್ತಿಸಿದಾಗ ಮಾತ್ರ ಮುಗಿಯುತ್ತದೆ.