IPsec-Durchleeung op engem Heemrouter: wat se wierklech mécht

D’Durchleeungsschaltere vum Router si Weiderleitungskonzessiounen fir en Apparat hannendrun, keng VPN-Servicer. Si mellen de Router net als Client un, halen keng Umeldungsdaten a schécke net all Apparat am Haus duerch en distante Ausgang. Wat si maachen, ass ze formen, wéi ee Protokoll d’Adressiwwersetzung an d’Filteren iwwerquiert. Wann dat kloer ass, ass de Schalter einfach ze testen an einfach auszeloossen.

Wat de Router wierklech mécht

De Router sëtzt tëscht engem Client an engem IPsec-Peer a leet Paketen weider, déi hien ni entworf gouf ze verstoen. D’Hiersteller implementéieren d’Funktioun op mannst dräi Manéieren: en Protokollhëllef, déi den Zoustand suivéiert oder ëmschreift; eng Filterausnam, déi d’Verwerfe vun ESP ophält; oder e Kompatibilitéitsmodus fir méi al Clienten. D’Etikett an der Webinterface seet seelen, wéi eng vun den dräi dir hutt. Nëmmen d’Firmwarenotizen oder eng Paketopnam soen et.

Eng Hëllef kann d’Saachen och verschlechteren. Hëllef, déi fir en méi ale Flux geschriwwe gouf, stéiert heiansdo e Client, deen d’Iwwersetzung schonn richteg behandelt. Wann en moderne Client mat der Optioun aus funktionéiert, ass et déi besser Konfiguratioun, se aus ze loossen.

D’Durchleeung gëtt dem Router ni d’Schlëssel vun de Peeren. Hie gesäit nach ëmmer d’baussenzeg Adressen a Porten a wendt nach ëmmer seng eege Weiderleitungspolitik op si un.

NAT an NAT-T entscheeden de Wee

IPsec gouf net gebaut, fir d’Adressiwwersetzung z’iwwerliewen, dofir hunn d’Standarde en Huelle bäigefüügt. NAT-Traversal kapselt ESP an UDP an, sou datt eng gewéinlech NAT-Tabell de Flux droen kann, an d’Verhandlung eenegt sech während IKE op dëse Wechsel (RFC 3948). IKE selwer benotzt UDP 500, wärend de gekapselte Wee typesch UDP 4500 benotzt.

Dofir ass eng Firewallreegel, déi nëmmen de Protokoll 50 erlaabt, op engem iwwersate Wee net genuch. 4500 blockéieren brécht de Fall, fir deen d’Huelle existéiert, an 500 blockéieren hält d’Verhandlung op, ier en Tunnel entsteet. Béid Richtungen zielen, well e Router mat Zoustand d’Äntwert meeschtens eréischt zouloosst, nodeems hien d’Ufro gesinn huet. Engem Port z’erreechen ass net datselwecht wéi d’Authentifizéierung ofzeschléissen, an och net wéi geschützt Verkehr weiderzeleeden.

Méi al Arrangementer ënnerscheede sech genuch, datt e Guide, dee fir si geschriwwen ass, feelféiere kann. Wann e Client béid Modi ubitt, test deen, deen däin Peer dokumentéiert, an net deen mat méi Sichresultater.

Fannt d’Etapp déi feelt

Deel de Problem an Verhandlung, Authentifizéierung, Kannerschutz an intern Weiderleitung, a sammel dann Beweiser fir eng Etapp gläichzäiteg. En Neistart, deen d’Resultat temporär ännert, beweist nëmmen, datt e puer Zoustand bedeelegt war.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

D’Opnam weist, ob den Austausch de Peer erreecht an ob Äntwerten zréckkommen, wat e Filterproblem vun engem Umeldungsproblem trennt. D’Zoustandslescht weist etabléiert Sécherheetsassoziounen, also weist eng eidel Lëscht no engem Versuch op Verhandlung amplaz op Routing. D’Politikslescht weist, wéi eng Selektoren installéiert sinn, an do gëtt en Zil baussent dem Subnetz ausgeschloss. Liest béid xfrm-Ausgaben, ier dir de Router ufänkt, well si beschreiwen, wat den Host gleeft, an net wat de Router erlaabt.

Wann d’Pakete fortgoen an näischt zréckkënnt, verlee d’Opnam op d’WAN-Säit vum Router. D’Vergläiche vun den zwou Opnamen lokaliséiert de Verloscht ouni ze roden.

Schalt aus wat dir net braucht

Ee funktionéierende Laptop beweist net, datt de Router verschidde Clienten zur selwechter Zäit bedéngt. Jiddweree Client schaaft säin eegene Iwwersetzungszoustand a seng eege Verhandlung, an e puer Hëllefen suivéiere just ee Flux. Test d’Zuel vu gläichzäitege Sitzungen, déi dir wierklech braucht, aus den Netzwierker, déi dir wierklech benotzt. Wann den zweeten Client feelt, wärend den éischten dréit, ass dat de Befund an net en duuschtigen Tunnel.

Looss d’Optioun nëmmen ugeschalt, wann eng Opnam weist, datt se néideg ass. Notéier d’Firmwareversioun niewent dem Resultat, well dës Verhalen tëscht Verëffentlechungen änneren. D’Zil ass en Clienttunnel, deen dir verifizéiert hutt, an net e Schalter, deen dir hoffnungsvoll ageschalt hutt.