XFRM ಇಂಟರ್ಫೇಸ್ ಬಳಸಿ ರೂಟ್-ಆಧಾರಿತ IPsec ಹೇಗೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ

ರೂಟ್-ಆಧಾರಿತ IPsec ರೂಟಿಂಗ್ ಕೋಷ್ಟಕಕ್ಕೆ ಹಿಂದೆ ನೀತಿ ಆಯ್ಕೆಕಾರರು ತೆಗೆದುಕೊಳ್ಳುತ್ತಿದ್ದ ನಿರ್ಣಯವನ್ನು ನೀಡುತ್ತದೆ. Linux ನಲ್ಲಿ ಇದನ್ನು ಸಾಧ್ಯವಾಗಿಸುವ ಭಾಗ XFRM ಇಂಟರ್ಫೇಸ್: ಆಯ್ಕೆಕಾರರಿಂದ ಅಲ್ಲ, ಇಂಟರ್ಫೇಸ್ ಗುರುತಿಸುವಿಕೆಯಿಂದ ಅದರ ಸಂಚಾರವು IPsec ಸ್ಥಿತಿಗೆ ಹೊಂದಿಸಲ್ಪಡುವ ವರ್ಚುವಲ್ ಸಾಧನ. ಒಂದನ್ನು ರಚಿಸಲು ಒಂದೇ ಆದೇಶ ಸಾಕು ಮತ್ತು ಸುರಂಗ ಇದೆಯೇ ಎಂಬುದನ್ನು ಅದು ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಸಾಧನವು ರೂಟಿಂಗ್ ಮತ್ತು ಭದ್ರತಾ ನೀತಿಯ ನಡುವಿನ ಕೊಕ್ಕೆ, ಮತ್ತು ಏನನ್ನಾದರೂ ರಕ್ಷಿಸುವ ಮೊದಲು ಆ ಕೊಕ್ಕೆಯ ಎರಡೂ ಬದಿಗಳನ್ನು ಸಂರಚಿಸಬೇಕು.

ಸಾಧನ ಏನು ಮತ್ತು ಏನಲ್ಲ

XFRM ಇಂಟರ್ಫೇಸ್ ಒಂದು ರೂಟಿಂಗ್ ಹಿಡಿಕೆ. ಅದರೊಳಗೆ ರೂಟ್ ಆಗುವ ಪ್ಯಾಕೆಟ್ಗಳು ಅದೇ ಇಂಟರ್ಫೇಸ್ ಗುರುತಿಸುವಿಕೆಯನ್ನು ಉಲ್ಲೇಖಿಸುವ XFRM ನೀತಿಗಳೊಂದಿಗೆ ಹೊಂದಿಸಲ್ಪಡುತ್ತವೆ, ಮತ್ತು ನೀತಿ ಮತ್ತು ಸ್ಥಿತಿ ಎರಡೂ ಇದ್ದರೆ ಅವು ಎನ್ಕ್ಯಾಪ್ಸುಲೇಟ್ ಆಗುತ್ತವೆ. ಅವು ಇಲ್ಲದಿದ್ದರೆ ಇಂಟರ್ಫೇಸ್ ಇರುತ್ತದೆ, ಕೌಂಟರ್ಗಳು ಸ್ಥಿರವಾಗಿರುತ್ತವೆ, ಮತ್ತು ಸಂಚಾರವು ಉಪಯೋಗವಿಲ್ಲದ ಕಡೆಗೆ ಹೋಗುತ್ತದೆ.

ಇದು ಮೊದಲ ರೋಗನಿರ್ಣಯದ ವಿಭಜನೆ. ಸಾಧನಕ್ಕೆ ಹೋಗುವ ರೂಟ್ ರೂಟಿಂಗ್ ಸತ್ಯ, ಸ್ಥಾಪಿತ ಸ್ಥಿತಿ ಭದ್ರತಾ ಸತ್ಯ, ಮತ್ತು ಸಾಧನದಲ್ಲಿ ಏರುವ ಕೌಂಟರ್ ಎರಡೂ ಅಲ್ಲ. ಇಂಟರ್ಫೇಸ್ UP ತೋರಿಸುತ್ತದೆ ಎಂದು ಸುರಂಗ ಮೇಲಿದೆ ಎಂದು ಜನರು ಹೇಳುವಾಗ, ತನ್ನದೇ ಜೋಡಿ ಇಲ್ಲದ ವರ್ಚುವಲ್ ಸಾಧನದ ಲಿಂಕ್ ಧ್ವಜಗಳನ್ನು ವಿವರಿಸುತ್ತಿದ್ದಾರೆ. ಧ್ವಜ ಎಂದರೆ ಸಾಧನ ರಚಿಸಲ್ಪಟ್ಟು ಸಕ್ರಿಯಗೊಂಡಿತು, ಅಷ್ಟೇ.

ಇನ್ನೊಂದು ಮಿತಿ: ಇಂಟರ್ಫೇಸ್ ಗುರುತಿಸುವಿಕೆ ಹೆಸರಲ್ಲ. ಹೋಲುವ ಹೆಸರು ಮತ್ತು ಬೇರೆ ಗುರುತಿಸುವಿಕೆ ಇರುವ ಎರಡು ಸಾಧನಗಳು ಸ್ಥಿತಿಯನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದಿಲ್ಲ, ಮತ್ತು ತಪ್ಪು ಗುರುತಿಸುವಿಕೆಯಿಂದ ಸಂರಚಿಸಲಾದ ಸಂಪರ್ಕವು ಯಾವ ರೂಟ್ ಕೂಡ ಎಂದಿಗೂ ಬಳಸದ ಸ್ಥಿತಿಯನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ.

ಸರಿಯಾದ ಕ್ರಮದಲ್ಲಿ ಒಂದನ್ನು ನಿರ್ಮಿಸಿ

ಹೊರಗಿನ ಸಾಧನ ಮತ್ತು ಡೀಮನ್ ಸಂರಚನೆಯಲ್ಲೂ ಹಾಕುವ ಸಂಖ್ಯೆಯಿಂದ ಪ್ರಾರಂಭಿಸಿ. ಉದಾಹರಣೆ ಹೊರಗಿನ ಇಂಟರ್ಫೇಸ್ ಆಗಿ eth0 ಮತ್ತು ಗುರುತಿಸುವಿಕೆ ಆಗಿ 42 ಬಳಸುತ್ತದೆ, ಇವನ್ನು ನಿಮ್ಮದೇ ವಿಳಾಸಗಳಿಂದ ಬದಲಾಯಿಸಬೇಕು.

ಸಾಧನವನ್ನು ಮೇಲೆ ಎಬ್ಬಿಸಿ, ನಂತರ VPN ಸಂರಚನೆಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಕರ್ನೆಲ್ ದಾಖಲಿಸಿದ ಗುರುತಿಸುವಿಕೆಯನ್ನು ಖಚಿತಪಡಿಸಿ:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

ಈಗ strongSwan ನಲ್ಲಿ ಅದೇ ಗುರುತಿಸುವಿಕೆಯೊಂದಿಗೆ ಸಂಪರ್ಕವನ್ನು ಸಂರಚಿಸಿ, ಏಕೆಂದರೆ ಡೀಮನ್ ಅದನ್ನು ಉಲ್ಲೇಖಿಸುವ ನೀತಿಗಳು ಮತ್ತು ಸ್ಥಿತಿಗಳನ್ನು ಸ್ಥಾಪಿಸಬೇಕು. ಸ್ಥಳೀಯ ಮತ್ತು ದೂರದ ಸಂಚಾರ ಆಯ್ಕೆಕಾರರನ್ನು ನೀವು ರೂಟ್ ಮಾಡಲು ಬಯಸುವ ಶ್ರೇಣಿಗೆ ಇರಿಸಿ, ನಂತರ ಆ ಶ್ರೇಣಿಯನ್ನು ಸಾಧನಕ್ಕೆ ರೂಟ್ ಮಾಡಿ. ಡೀಮನ್ ಸಂರಚನೆ ಮತ್ತು ರೂಟಿಂಗ್ ಕೋಷ್ಟಕವು ಗುರುತಿಸುವಿಕೆ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನಗಳೆರಡರ ಮೇಲೂ ಒಪ್ಪಬೇಕು, ಮತ್ತು ಒಂದು ಇನ್ನೊಂದನ್ನು ಒದಗಿಸುವುದಿಲ್ಲ.

IKE ಮತ್ತು ESP ಅನ್ನು ಸುರಂಗ ರೂಟ್ನಿಂದ ಹೊರಗಿಡಿ

XFRM ಸಾಧನಕ್ಕೆ ತೋರುವ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಟೆಡ್ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಮತ್ತು ಅವು ಸಾಗಿಸುವ ಸಂಚಾರವನ್ನೂ ಸೆಳೆದುಕೊಳ್ಳುತ್ತದೆ. ಫಲಿತಾಂಶ ಒಂದು ಲೂಪ್: ಗೇಟ್ವೇ ತನ್ನ ESP ಅನ್ನು ESP ನಿರ್ಮಿಸಬೇಕಾದ ಸುರಂಗದ ಮೂಲಕ ಕಳುಹಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತದೆ.

ಪರಿಹಾರ ಜೋಡಿಯ ಹೊರಗಿನ ವಿಳಾಸಕ್ಕೆ ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟ ರೂಟ್ ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ, ಅದು ಹೆಚ್ಚು ಬಿಟ್ಗಳನ್ನು ಹೊಂದಿಸುವುದರಿಂದ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ಸೋಲಿಸುತ್ತದೆ. ಹಲವು ಸುರಂಗಗಳು ಒಂದೇ ಕೋಷ್ಟಕವನ್ನು ಹಂಚಿಕೊಂಡಾಗ ಗುರುತು-ಆಧಾರಿತ ರೂಟಿಂಗ್ ಅದೇ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು strongSwan ರೂಟ್-ಆಧಾರಿತ ನಿಯೋಜನೆಗಳಿಗೆ ಎರಡೂ ವಿಧಾನಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ.

ನೀವು ಏನೇ ಆರಿಸಿದರೂ, ಹೊರಗಿನ ಪ್ಯಾಕೆಟ್ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಇಲ್ಲದೆ ಹೊರಬರುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ತ್ವರಿತ ಪರಿಶೀಲನೆ ಎಂದರೆ ಸುರಂಗ ಮೇಲೆ ಬಂದ ನಂತರ ಜೋಡಿಯ ಹೊರಗಿನ ವಿಳಾಸಕ್ಕೆ ping ಮಾಡುವುದು; ಇಂಟರ್ಫೇಸ್ ಮೇಲಿರುವಾಗ ಅದು ವಿಫಲವಾದರೆ, ತಲುಪುವಿಕೆಯ ಬದಲು ಹಿಡಿಯುವಿಕೆಯನ್ನು ಸಂಶಯಿಸಿ. ಅದೇ ತರ್ಕ IKE ಪೋರ್ಟ್ಗೂ ಅನ್ವಯಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಡೀಮನ್ನ ಸ್ವಂತ UDP ಸಂಚಾರವು ಅದು ಸ್ಥಾಪಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತಿರುವ ಸಾಧನಕ್ಕೆ ರೂಟ್ ಆಗಬಾರದು.

ಗೂಢಲಿಪೀಕರಣವನ್ನು ದೂಷಿಸುವ ಮೊದಲು ಎರಡು ಸ್ಥಳಗಳಲ್ಲಿ ಕೌಂಟರ್ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ

ಇಂಟರ್ಫೇಸ್ ಕೌಂಟರ್ಗಳು ಮತ್ತು ಸ್ಥಿತಿ ಕೌಂಟರ್ಗಳು ಬೇರೆ ಬೇರೆ ಹಂತಗಳನ್ನು ಅಳೆಯುತ್ತವೆ. ಸಾಧನಕ್ಕೆ ರೂಟ್ ಆದ ಪ್ಯಾಕೆಟ್ಗಳು ಯಾವ ಸ್ಥಿತಿಯೂ ಹೊಂದಿಕೆಯಾಗದಿದ್ದರೂ ಸಾಧನವನ್ನು ಹೆಚ್ಚಿಸುತ್ತವೆ, ಆದರೆ ಸ್ಥಿತಿ ಕೌಂಟರ್ಗಳು ನಿಜವಾಗಿ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಟ್ ಆದ ಸಂಚಾರಕ್ಕೆ ಮಾತ್ರ ಚಲಿಸುತ್ತವೆ.

ಎರಡನ್ನೂ ಓದಿ, ನಂತರ ಚೈಲ್ಡ್ ಸಂಘದ ಬಗ್ಗೆ ಡೀಮನ್ನ ದೃಷ್ಟಿಯನ್ನು ಓದಿ:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

ಸ್ಥಿತಿ ಔಟ್ಪುಟ್ ಖಾಲಿ ಇರುವಾಗ ಸಾಧನ ಕೌಂಟರ್ಗಳು ಏರುವುದು ರೂಟಿಂಗ್ ಕೆಲಸ ಮಾಡುತ್ತಿದೆ ಮತ್ತು ನೀತಿ ಹೊಂದಿಕೆಯಾಗುತ್ತಿಲ್ಲ ಎಂದರ್ಥ, ಸಾಮಾನ್ಯವಾಗಿ ಗುರುತಿಸುವಿಕೆ ಅಥವಾ ಆಯ್ಕೆಕಾರರ ತಪ್ಪು. ದೂರದ ಬದಿ ಏನನ್ನೂ ವರದಿ ಮಾಡದಿರುವಾಗ ಸ್ಥಿತಿ ಕೌಂಟರ್ಗಳು ಏರುವುದು ಪ್ಯಾಕೆಟ್ಗಳು ಹೊರಟು ಆದರೆ ತಲುಪದಿರುವುದು ಅಥವಾ ದೃಢೀಕರಣ ವಿಫಲವಾಗುವುದು ಎಂದರ್ಥ, ಅದು ಮಾರ್ಗ ಅಥವಾ ಜೋಡಿ ಸಂರಚನೆಯತ್ತ ಸೂಚಿಸುತ್ತದೆ. ಶೂನ್ಯ ಸಂಚಾರವಿರುವ ಪಟ್ಟಿ ಮಾಡಿದ ಚೈಲ್ಡ್ ಒಂದು ತುದಿಯಲ್ಲಿ ಆಯ್ಕೆಕಾರರ ಸಮಸ್ಯೆ, ಮುರಿದ ಸೈಫರ್ ಅಲ್ಲ.

ರೂಟ್ಗಳನ್ನು ಯಾರು ಸ್ಥಾಪಿಸುತ್ತಾರೆ ಎಂದು ನಿರ್ಧರಿಸಿ

ಒಂದು ರೂಟಿಂಗ್ ಕೋಷ್ಟಕಕ್ಕೆ ಇಬ್ಬರು ಮಾಲೀಕರು ಸಾಮಾನ್ಯವಾಗಿ ಫ್ಲಾಪಿಂಗ್ನ ಮೂಲ. ಡೀಮನ್ ರೂಟ್ಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸ್ಥಾಪಿಸಿದರೆ, ನಿಮ್ಮ ನೆಟ್ವರ್ಕ್ ಮ್ಯಾನೇಜರ್ ಸಹ ಅದೇ ಸಾಧನದ ಮೂಲಕ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಸ್ಥಾಪಿಸಬಾರದು, ಮತ್ತು ಸ್ಟಾರ್ಟ್ಅಪ್ ಸ್ಕ್ರಿಪ್ಟ್ ಸೇರಿಸಿದ ಕೈಯಿಂದ ಮಾಡಿದ ರೂಟ್ ಮುಂದಿನ ಬಾರಿ ಡೀಮನ್ ಮರುಸಂರಚಿಸಿದಾಗ ತೆಗೆದುಹಾಕಲ್ಪಡುತ್ತದೆ.

ಒಬ್ಬ ಮಾಲೀಕರನ್ನು ಆರಿಸಿ ಮತ್ತು ಅದನ್ನು ಬರೆಯಿರಿ. ರೂಟ್ಗಳು ಡೀಮನ್ನವಾದಾಗ, ಸ್ಟಾರ್ಟ್ಅಪ್ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಕೋಷ್ಟಕದಿಂದ ಹೊರಗಿಡಿ ಮತ್ತು ಸಂಪರ್ಕ ವ್ಯಾಖ್ಯಾನವು ಸಂಚಾರ ಆಯ್ಕೆಕಾರರನ್ನು ವಿವರಿಸಲಿ. ಅವು ನೆಟ್ವರ್ಕ್ ಮ್ಯಾನೇಜರ್ನವಾದಾಗ, ಸ್ವಯಂಚಾಲಿತ ಸ್ಥಾಪನೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ ಮತ್ತು ಮರುಸಂಪರ್ಕದಲ್ಲಿ ಡೀಮನ್ ಕಾಣೆಯಾದ ರೂಟ್ ಅನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ ಎಂದು ಒಪ್ಪಿಕೊಳ್ಳಿ.

ಫಾರ್ವರ್ಡಿಂಗ್ ಮತ್ತು ಫೈರ್ವಾಲ್ ನಿಯಮಗಳು ಅದರ ಮೇಲೆ ಪ್ರತ್ಯೇಕ ನಿರ್ಣಯ, ಏಕೆಂದರೆ ಇತರ ಹೋಸ್ಟ್ಗಳ ಸಂಚಾರವನ್ನು ದಾಟಿಸುವ ಗೇಟ್ವೇಗೆ ಎರಡೂ ಬೇಕು. ರೂಟ್-ಆಧಾರಿತ IPsec ಆ ಸಂಚಾರವನ್ನು ಸಾಮಾನ್ಯ ರೂಟಿಂಗ್ ಪರಿಕರಗಳಿಂದ ವ್ಯಕ್ತಪಡಿಸಲು ಸುಲಭಗೊಳಿಸುತ್ತದೆ; ಅದು ನೀತಿ ಪದರವನ್ನು ಐಚ್ಛಿಕಗೊಳಿಸುವುದಿಲ್ಲ.