ಮನೆಯ ರೌಟರ್ನಲ್ಲಿ IPsec ಪಾಸ್-ಥ್ರೂ: ಅದು ನಿಜವಾಗಿ ಏನು ಮಾಡುತ್ತದೆ

ರೌಟರ್ನ ಪಾಸ್-ಥ್ರೂ ಸ್ವಿಚ್ಗಳು ಅವುಗಳ ಹಿಂದಿನ ಸಾಧನಕ್ಕೆ ಫಾರ್ವರ್ಡಿಂಗ್ ರಿಯಾಯಿತಿಗಳು, VPN ಸೇವೆಗಳಲ್ಲ. ಅವು ರೌಟರ್ ಅನ್ನು ಕ್ಲೈಂಟ್ ಆಗಿ ನೋಂದಿಸುವುದಿಲ್ಲ, ರುಜುವಾತುಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳುವುದಿಲ್ಲ ಮತ್ತು ಮನೆಯ ಪ್ರತಿ ಸಾಧನವನ್ನು ದೂರದ ನಿರ್ಗಮನದ ಮೂಲಕ ಕಳುಹಿಸುವುದಿಲ್ಲ. ಅವು ಮಾಡುವುದು ಒಂದು ಪ್ರೋಟೋಕಾಲ್ ವಿಳಾಸ ಅನುವಾದ ಮತ್ತು ಫಿಲ್ಟರ್ಗಳನ್ನು ಹೇಗೆ ದಾಟುತ್ತದೆ ಎಂಬುದನ್ನು ರೂಪಿಸುವುದು. ಅದು ಸ್ಪಷ್ಟವಾದ ನಂತರ, ಸ್ವಿಚ್ ಅನ್ನು ಪರೀಕ್ಷಿಸುವುದು ಸುಲಭ ಮತ್ತು ಆಫ್ ಇಡುವುದೂ ಸುಲಭ.

ರೌಟರ್ ನಿಜವಾಗಿ ಏನು ಮಾಡುತ್ತಿದೆ

ರೌಟರ್ ಕ್ಲೈಂಟ್ ಮತ್ತು IPsec ಸಹವರ್ತಿಯ ನಡುವೆ ಕುಳಿತು, ಅರ್ಥಮಾಡಿಕೊಳ್ಳಲು ಎಂದಿಗೂ ವಿನ್ಯಾಸಗೊಳಿಸದ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಫಾರ್ವರ್ಡ್ ಮಾಡುತ್ತದೆ. ತಯಾರಕರು ಈ ವೈಶಿಷ್ಟ್ಯವನ್ನು ಕನಿಷ್ಠ ಮೂರು ರೀತಿಯಲ್ಲಿ ಜಾರಿಗೊಳಿಸುತ್ತಾರೆ: ಸ್ಥಿತಿಯನ್ನು ಟ್ರ್ಯಾಕ್ ಮಾಡುವ ಅಥವಾ ಮತ್ತೆ ಬರೆಯುವ ಪ್ರೋಟೋಕಾಲ್ ಸಹಾಯಕ, ESP ಬೀಳಿಸುವುದನ್ನು ನಿಲ್ಲಿಸುವ ಫಿಲ್ಟರ್ ವಿನಾಯಿತಿ, ಅಥವಾ ಹಳೆಯ ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಗುರಿಯಾದ ಹೊಂದಾಣಿಕೆ ಮೋಡ್. ವೆಬ್ ಇಂಟರ್ಫೇಸ್ನ ಲೇಬಲ್ ನಿಮ್ಮಲ್ಲಿ ಮೂರರಲ್ಲಿ ಯಾವುದು ಇದೆ ಎಂದು ಅಪರೂಪವಾಗಿ ಹೇಳುತ್ತದೆ. ಫರ್ಮ್ವೇರ್ ಟಿಪ್ಪಣಿಗಳು ಅಥವಾ ಪ್ಯಾಕೆಟ್ ಸೆರೆಹಿಡಿಯುವಿಕೆ ಮಾತ್ರ ಅದನ್ನು ಹೇಳುತ್ತವೆ.

ಸಹಾಯಕವು ವಿಷಯಗಳನ್ನು ಇನ್ನಷ್ಟು ಕೆಡಿಸಬಹುದು. ಹಳೆಯ ಹರಿವಿಗಾಗಿ ಬರೆದ ಸಹಾಯವು ಕೆಲವೊಮ್ಮೆ ಅನುವಾದವನ್ನು ಈಗಾಗಲೇ ಸರಿಯಾಗಿ ನಿರ್ವಹಿಸುವ ಕ್ಲೈಂಟ್ಗೆ ಅಡ್ಡಿಪಡಿಸುತ್ತದೆ. ಆಧುನಿಕ ಕ್ಲೈಂಟ್ ಆಯ್ಕೆಯನ್ನು ಆಫ್ ಮಾಡಿ ಕೆಲಸ ಮಾಡಿದಾಗ, ಅದನ್ನು ಆಫ್ ಇಡುವುದು ಉತ್ತಮ ಸಂರಚನೆ.

ಪಾಸ್-ಥ್ರೂ ಎಂದಿಗೂ ರೌಟರ್ಗೆ ಸಹವರ್ತಿಗಳ ಕೀಲಿಗಳನ್ನು ನೀಡುವುದಿಲ್ಲ. ಅದು ಇನ್ನೂ ಹೊರಗಿನ ವಿಳಾಸಗಳು ಮತ್ತು ಪೋರ್ಟ್ಗಳನ್ನು ನೋಡುತ್ತದೆ, ಮತ್ತು ಅವುಗಳ ಮೇಲೆ ತನ್ನದೇ ಫಾರ್ವರ್ಡಿಂಗ್ ನೀತಿಯನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ.

NAT ಮತ್ತು NAT-T ಮಾರ್ಗವನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ

IPsec ವಿಳಾಸ ಅನುವಾದವನ್ನು ದಾಟಲು ನಿರ್ಮಿಸಲಾಗಿಲ್ಲ, ಆದ್ದರಿಂದ ಮಾನದಂಡಗಳು ಒಂದು ಹೊದಿಕೆಯನ್ನು ಸೇರಿಸಿದವು. NAT ಟ್ರಾವರ್ಸಲ್ ESP ಅನ್ನು UDP ಒಳಗೆ ಸುತ್ತುತ್ತದೆ, ಸಾಮಾನ್ಯ NAT ಕೋಷ್ಟಕಕ್ಕೆ ಹರಿವನ್ನು ಹೊತ್ತೊಯ್ಯಲು ಅವಕಾಶ ನೀಡುತ್ತದೆ, ಮತ್ತು ಸಂಧಾನವು IKE ಸಮಯದಲ್ಲಿ ಆ ಬದಲಾವಣೆಗೆ ಒಪ್ಪುತ್ತದೆ (RFC 3948). IKE ಸ್ವತಃ UDP 500 ಬಳಸುತ್ತದೆ, ಆದರೆ ಸುತ್ತಿದ ಮಾರ್ಗ ಸಾಮಾನ್ಯವಾಗಿ UDP 4500 ಬಳಸುತ್ತದೆ.

ಆದ್ದರಿಂದ ಕೇವಲ ಪ್ರೋಟೋಕಾಲ್ 50 ಗೆ ಅನುಮತಿ ನೀಡುವ ಫೈರ್ವಾಲ್ ನಿಯಮವು ಅನುವಾದಿತ ಮಾರ್ಗದಲ್ಲಿ ಸಾಕಾಗುವುದಿಲ್ಲ. 4500 ಅನ್ನು ನಿರ್ಬಂಧಿಸುವುದು ಹೊದಿಕೆ ಯಾವ ಸಂದರ್ಭಕ್ಕಾಗಿ ಇದೆಯೋ ಅದನ್ನು ಮುರಿಯುತ್ತದೆ, ಮತ್ತು 500 ಅನ್ನು ನಿರ್ಬಂಧಿಸುವುದು ಯಾವುದೇ ಸುರಂಗ ರೂಪುಗೊಳ್ಳುವ ಮೊದಲು ಸಂಧಾನವನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ಎರಡೂ ದಿಕ್ಕುಗಳು ಮುಖ್ಯ, ಏಕೆಂದರೆ ಸ್ಥಿತಿ-ಅರಿವಿನ ರೌಟರ್ ಸಾಮಾನ್ಯವಾಗಿ ವಿನಂತಿಯನ್ನು ನೋಡಿದ ನಂತರವೇ ಉತ್ತರಕ್ಕೆ ಅನುಮತಿ ನೀಡುತ್ತದೆ. ಪೋರ್ಟ್ ತಲುಪುವುದು ದೃಢೀಕರಣ ಮುಗಿಸುವುದಕ್ಕೆ ಸಮವಲ್ಲ, ಸಂರಕ್ಷಿತ ಸಂಚಾರವನ್ನು ಫಾರ್ವರ್ಡ್ ಮಾಡುವುದಕ್ಕೂ ಸಮವಲ್ಲ.

ಹಳೆಯ ವ್ಯವಸ್ಥೆಗಳು ಸಾಕಷ್ಟು ಭಿನ್ನವಾಗಿವೆ, ಅವುಗಳಿಗಾಗಿ ಬರೆದ ಮಾರ್ಗದರ್ಶಿ ದಾರಿತಪ್ಪಿಸಬಹುದು. ಕ್ಲೈಂಟ್ ಎರಡೂ ಮೋಡ್ಗಳನ್ನು ನೀಡಿದಾಗ, ಹೆಚ್ಚು ಹುಡುಕಾಟ ಫಲಿತಾಂಶಗಳಿರುವುದನ್ನು ಅಲ್ಲ, ನಿಮ್ಮ ಸಹವರ್ತಿ ದಾಖಲಿಸಿರುವುದನ್ನು ಪರೀಕ್ಷಿಸಿ.

ವಿಫಲವಾಗುವ ಹಂತವನ್ನು ಹುಡುಕಿ

ಸಮಸ್ಯೆಯನ್ನು ಸಂಧಾನ, ದೃಢೀಕರಣ, ಮಗು ಸಂರಕ್ಷಣೆ ಮತ್ತು ಒಳಗಿನ ಫಾರ್ವರ್ಡಿಂಗ್ ಆಗಿ ವಿಭಜಿಸಿ, ನಂತರ ಒಂದು ಹಂತಕ್ಕೆ ಸಾಕ್ಷ್ಯ ಸಂಗ್ರಹಿಸಿ. ಫಲಿತಾಂಶವನ್ನು ತಾತ್ಕಾಲಿಕವಾಗಿ ಬದಲಿಸುವ ಮರುಪ್ರಾರಂಭವು ಕೆಲವು ಸ್ಥಿತಿ ಒಳಗೊಂಡಿತ್ತು ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

ಸೆರೆಹಿಡಿಯುವಿಕೆ ವಿನಿಮಯವು ಸಹವರ್ತಿಯನ್ನು ತಲುಪುತ್ತದೆಯೇ ಮತ್ತು ಉತ್ತರಗಳು ಹಿಂತಿರುಗುತ್ತವೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಇದು ಫಿಲ್ಟರ್ ಸಮಸ್ಯೆಯನ್ನು ರುಜುವಾತು ಸಮಸ್ಯೆಯಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ. ಸ್ಥಿತಿ ಪಟ್ಟಿ ಸ್ಥಾಪಿತ ಭದ್ರತಾ ಸಂಘಗಳನ್ನು ತೋರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರಯತ್ನದ ನಂತರದ ಖಾಲಿ ಪಟ್ಟಿ ರೂಟಿಂಗ್ ಬದಲು ಸಂಧಾನವನ್ನು ಸೂಚಿಸುತ್ತದೆ. ನೀತಿ ಪಟ್ಟಿ ಯಾವ ಆಯ್ಕೆಗಾರರು ಸ್ಥಾಪಿತವಾಗಿವೆ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಅಲ್ಲಿಯೇ ಉಪಜಾಲದ ಹೊರಗಿನ ಗಮ್ಯಸ್ಥಾನ ಹೊರಗಿಡಲಾಗುತ್ತದೆ. ರೌಟರ್ ಮುಟ್ಟುವ ಮೊದಲು xfrm ನ ಎರಡೂ ಔಟ್ಪುಟ್ಗಳನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಅವು ರೌಟರ್ ಏನು ಅನುಮತಿಸುತ್ತದೆ ಎಂಬುದನ್ನಲ್ಲ, ಆತಿಥೇಯ ಏನು ನಂಬುತ್ತದೆ ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತವೆ.

ಪ್ಯಾಕೆಟ್ಗಳು ಹೊರಟು ಏನೂ ಹಿಂತಿರುಗದಿದ್ದರೆ, ಸೆರೆಹಿಡಿಯುವಿಕೆಯನ್ನು ರೌಟರ್ನ WAN ಬದಿಗೆ ಸರಿಸಿ. ಎರಡೂ ಸೆರೆಹಿಡಿಯುವಿಕೆಗಳನ್ನು ಹೋಲಿಸಿದರೆ ಊಹಿಸದೆಯೇ ಬೀಳಿಸುವ ಸ್ಥಳವನ್ನು ಗುರುತಿಸುತ್ತದೆ.

ಬೇಡವಾದದ್ದನ್ನು ಆಫ್ ಮಾಡಿ

ಒಂದು ಕೆಲಸ ಮಾಡುವ ಲ್ಯಾಪ್ಟಾಪ್ ರೌಟರ್ ಒಂದೇ ಬಾರಿಗೆ ಹಲವು ಕ್ಲೈಂಟ್ಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಪ್ರತಿ ಕ್ಲೈಂಟ್ ತನ್ನದೇ ಅನುವಾದ ಸ್ಥಿತಿ ಮತ್ತು ತನ್ನದೇ ಸಂಧಾನವನ್ನು ರಚಿಸುತ್ತದೆ, ಮತ್ತು ಕೆಲವು ಸಹಾಯಕರು ಒಂದೇ ಹರಿವನ್ನು ಅನುಸರಿಸುತ್ತವೆ. ನಿಮಗೆ ನಿಜವಾಗಿ ಬೇಕಾದ ಏಕಕಾಲಿಕ ಅವಧಿಗಳ ಸಂಖ್ಯೆಯನ್ನು ನೀವು ನಿಜವಾಗಿ ಬಳಸುವ ಜಾಲಗಳಿಂದ ಪರೀಕ್ಷಿಸಿ. ಮೊದಲನೆಯದು ಚೆನ್ನಾಗಿ ನಡೆಯುತ್ತಿರುವಾಗ ಎರಡನೇ ಕ್ಲೈಂಟ್ ವಿಫಲವಾದರೆ, ಅದೇ ಕಂಡುಹಿಡಿದ ಅಂಶ, ಅಸ್ಥಿರ ಸುರಂಗವಲ್ಲ.

ಸೆರೆಹಿಡಿಯುವಿಕೆ ಅಗತ್ಯ ಎಂದು ತೋರಿಸಿದಾಗ ಮಾತ್ರ ಆಯ್ಕೆಯನ್ನು ಆನ್ ಇಡಿ. ಫಲಿತಾಂಶದ ಪಕ್ಕದಲ್ಲಿ ಫರ್ಮ್ವೇರ್ ಆವೃತ್ತಿಯನ್ನು ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಈ ವರ್ತನೆಗಳು ಬಿಡುಗಡೆಗಳ ನಡುವೆ ಬದಲಾಗುತ್ತವೆ. ಗುರಿ ನೀವು ಪರಿಶೀಲಿಸಿದ ಕ್ಲೈಂಟ್ ಸುರಂಗ, ಆಶೆಯಿಂದ ಆನ್ ಮಾಡಿದ ಸ್ವಿಚ್ ಅಲ್ಲ.