IPsec praleidimas namų maršruto parinktuve: ką jis iš tikrųjų daro

Maršrutizatoriaus praleidimo jungikliai yra persiuntimo nuolaidos už jų esančiam įrenginiui, o ne VPN paslaugos. Jie neregistruoja maršrutizatoriaus kaip kliento, nelaiko prisijungimo duomenų ir nevaro kiekvieno namo įrenginio per nuotolinę išėjimą. Jie daro tai, kad formuoja, kaip vienas protokolas kerta adresų vertimą ir filtrus. Kai tai aišku, jungiklį lengva išbandyti ir lengva palikti išjungtą.

Ką maršrutizatorius iš tikrųjų daro

Maršrutizatorius stovi tarp kliento ir IPsec partnerio ir persiunčia paketus, kurių suprasti jis niekada nebuvo skirtas. Gamintojai funkciją įgyvendina bent trimis būdais: protokolo pagalbininkas, kuris seka arba perrašo būseną; filtro išimtis, kuri sustabdo ESP numetimą; arba suderinamumo režimas, skirtas senesniems klientams. Žymė žiniatinklio sąsajoje retai pasako, kurią iš trijų turite. Tai pasakys tik programinės įrangos pastabos arba paketų įrašymas.

Pagalbininkas gali ir pabloginti padėtį. Pagalba, parašyta senesniam srautui, kartais trukdo klientui, kuris vertimą jau apdoroja teisingai. Kai šiuolaikinis klientas veikia su išjungta parinktimi, ją palikti išjungtą yra geresnė konfigūracija.

Praleidimas niekada neduoda maršrutizatoriui partnerių raktų. Jis vis dar mato išorinius adresus ir prievadus ir vis dar taiko jiems savo persiuntimo politiką.

NAT ir NAT-T nulemia kelią

IPsec nebuvo sukurtas atlaikyti adresų vertimą, todėl standartai pridėjo apvalkalą. NAT traversal įdeda ESP į UDP vidų, leisdamas įprastai NAT lentelei nešti srautą, o derybos dėl šio perjungimo susitaria IKE metu (RFC 3948). Pats IKE naudoja UDP 500, o apgaubtas kelias paprastai naudoja UDP 4500.

Todėl užkardos taisyklė, leidžianti tik protokolą 50, neverstuotame kelyje nepakanka. Užblokavus 4500, sugadinamas atvejis, dėl kurio egzistuoja apvalkalas, o užblokavus 500, derybos sustabdomos dar neatsiradus jokiam tuneliui. Abi kryptys svarbios, nes būseną sekantis maršrutizatorius paprastai leidžia atsakymą tik pamatęs užklausą. Pasiekti prievadą nėra tas pats, kas baigti autentifikaciją, ir ne tas pats, kas persiųsti apsaugotą srautą.

Senesni sprendimai pakankamai skiriasi, kad jiems parašytas vadovas gali suklaidinti. Kai klientas siūlo abu režimus, išbandykite tą, kurį dokumentuoja jūsų partneris, o ne tą, kuris turi daugiau paieškos rezultatų.

Raskite nepavykusį etapą

Padalinkite problemą į derybas, autentifikaciją, antrinės apsaugą ir vidinį persiuntimą, tada rinkite įrodymus vienam etapui iš karto. Perkrovimas, kuris laikinai pakeičia rezultatą, įrodo tik tai, kad dalyvavo tam tikra būsena.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Įrašymas parodo, ar apsikeitimas pasiekia partnerį ir ar atsakymai grįžta, o tai atskiria filtravimo problemą nuo prisijungimo duomenų problemos. Būsenos sąrašas rodo sukurtas saugumo asociacijas, todėl tuščias sąrašas po bandymo nurodo derybas, o ne maršrutizavimą. Politikos sąrašas rodo, kurie selektoriai įdiegti, ir būtent ten išskiriama paskirties vieta už potinklio. Perskaitykite abi xfrm išvestis prieš liesdami maršrutizatorių, nes jos aprašo, ką mano mazgas, o ne ką leidžia maršrutizatorius.

Jei paketai išeina ir nieko negrįžta, perkelkite įrašymą į maršrutizatoriaus WAN pusę. Dviejų įrašymų palyginimas nustato numetimo vietą be spėliojimų.

Išjunkite tai, ko jums nereikia

Vienas veikiantis nešiojamasis kompiuteris neįrodo, kad maršrutizatorius aptarnauja kelis klientus vienu metu. Kiekvienas klientas sukuria savo vertimo būseną ir savo derybas, o kai kurie pagalbininkai seka tik vieną srautą. Išbandykite vienu metu reikalingų sesijų skaičių tose tinkluose, kuriuos iš tikrųjų naudojate. Jei antrasis klientas nepavyksta, kol pirmasis klesti, tai yra radinys, o ne netvirtas tunelis.

Palikite parinktį įjungtą tik tada, kai įrašymas rodo, kad jos reikia. Užrašykite programinės įrangos versiją šalia rezultato, nes šis elgesys keičiasi tarp leidimų. Tikslas yra jūsų patikrintas kliento tunelis, o ne viltimi įjungtas jungiklis.