Үй роутериндеги IPsec өткөрүү: ал чындыгында эмне кылат

Роутердин өткөрүү ажыраткычтары алардын артындагы түзмөк үчүн багыттоо жеңилдиктери, VPN кызматтары эмес. Алар роутерди кардар катары каттабайт, каттоо маалыматтарын сактабайт жана үйдөгү ар бир түзмөктү алыскы чыгуу аркылуу өткөрбөйт. Алар кылганы — бир протоколдун дарек которуусунан жана чыпкалардан кантип өтүшүн калыптандыруу. Бул так болгондон кийин, ажыраткычты текшерүү да, өчүк калтыруу да оңой.

Роутер чындыгында эмне кылат

Роутер кардар менен IPsec шеригинин ортосунда турат жана түшүнүү үчүн эч качан долбоорлонбогон пакеттерди өткөрөт. Өндүрүүчүлөр бул функцияны жок дегенде үч жол менен ишке ашырат: абалды көзөмөлдөгөн же кайра жазган протокол жардамчысы, ESP ыргытылышын токтоткон чыпка өзгөчөлүгү, же эски кардарларга багытталган шайкештик режими. Веб-интерфейстеги жазуу үчөөнүн кайсынысы сизде экенин сейрек айтат. Муну тек firmware эскертүүлөрү же пакеттерди жазуу гана айтат.

Жардамчы ишти начарлатышы да мүмкүн. Эски агым үчүн жазылган жардам кээде которууну туура иштеп жаткан кардарга тоскоол болот. Заманбап кардар опция өчүк абалда иштесе, аны өчүк калтыруу жакшыраак конфигурация.

Өткөрүү роутерге шериктердин ачкычтарын эч качан бербейт. Ал дагы эле сырткы даректерди жана портторду көрөт жана аларга өзүнүн багыттоо саясатын колдонот.

NAT жана NAT-T жолду чечет

IPsec дарек которуусунан аман өтүү үчүн курулган эмес, ошондуктан стандарттар каптама кошумчалады. NAT traversal ESPни UDP ичине ороп, кадимки NAT таблицасына агымды ташууга мүмкүндук берет, жана сүйлөшүү IKE учурунда ошол которууга макулдашат (RFC 3948). IKE өзү UDP 500 колдонот, ал эми капталган жол адатта UDP 4500 колдонот.

Ошондуктан 50 протоколуна гана уруксат берген firewall эрежеси которулган жолдо жетишсиз. 4500дү блоктоо каптама бар болушунун себеби болгон учурду бузат, ал эми 500дү блоктоо кандайдыр бир туннель пайда болоор алдында сүйлөшүүнү токтотот. Эки багыт тең маанилүү, анткени абалды көзөмөлдөгөн роутер адатта сурамды көргөндөн кийин гана жоопко уруксат берет. Портко жетүү аутентификацияны бүтүрүү менен бирдей эмес, корголгон трафикти өткөрүү менен да бирдей эмес.

Эски түзүлүштөр жетишерлик айырмаланат, ошондуктан алар үчүн жазылган колдонмо адаштырышы мүмкүн. Кардар эки режимди тең сунуштаса, көбүрөөк издөө натыйжасы барды эмес, шеригиңиз документтегенди текшериңиз.

Ийгиликсиз этапты табыңыз

Маселени сүйлөшүүгө, аутентификацияга, бала коргоого жана ички багыттоого бөлүп, анан бир этапка далил чогултуңуз. Натыйжаны убактылуу өзгөрткөн кайра жүктөө кандайдыр бир абал катышкандыгын гана далилдейт.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Жазуу алмашуунун шерикке жеткенин жана жооптордун кайтканын көрсөтөт, бул чыпка маселесин каттоо маалыматтары маселесинен ажыратат. Абал тизмеси орнотулган коопсуздук ассоциацияларын көрсөтөт, ошондуктан аракеттен кийинки бош тизме маршруттоого эмес, сүйлөшүүгө көрсөтөт. Саясат тизмеси кайсы селекторлор орнотулганын көрсөтөт, жана дал ошол жерде ички тармактан тышкаркы багыт алынып салынат. Роутерге тийүүдөн мурун xfrmдин эки чыгышын тең окуңуз, анткени алар роутер эмнеге уруксат берерин эмес, хост эмнени деп билгенин сүрөттөйт.

Эгер пакеттер чыгып, эч нерсе кайтпаса, жазууну роутердин WAN тарабына жылдырыңыз. Эки жазууну салыштыруу түшүрүлгөн жерди божомолдобой аныктайт.

Керек эмести өчүрүңүз

Бир иштеп турган ноутбук роутердин бир убакта бир нече кардарды тейлей аларын далилдебейт. Ар бир кардар өзүнүн которуу абалын жана өзүнүн сүйлөшүүсүн түзөт, ал эми кээ бир жардамчылар бир гана агымды көзөмөлдөйт. Сизге чындап керек болгон бир убактагы сессиялардын санын чындап колдонгон тармактардан текшериңиз. Эгер биринчиси гүлдөп турганда экинчи кардар ийгиликсиз болсо, бул — табылган нерсе, туруксуз туннель эмес.

Опцияны жазуу керек экенин көрсөткөндө гана күйүк кармаңыз. Натыйжанын жанына firmware версиясын жазыңыз, анткени бул жүрүм-турумдар чыгарылыштардын ортосунда өзгөрөт. Максат — сиз текшерген кардар туннели, үмүт менен күйгүзүлгөн ажыраткыч эмес.