Пропуштање на IPsec на домашен рутер: што всушност прави

Прекинувачите за пропуштање на рутерот се отстапки за препраќање за уредот зад нив, не VPN услуги. Тие не го регистрираат рутерот како клиент, не чуваат акредитиви и не го туркаат секој уред во куќата низ далечен излез. Она што го прават е да обликуваат како еден протокол ја преминува преводот на адреси и филтрите. Кога тоа е јасно, прекинувачот е лесен за тестирање и лесен за оставање исклучен.

Што всушност прави рутерот

Рутерот стои меѓу клиент и IPsec партнер и препраќа пакети што никогаш не бил дизајниран да ги разбере. Производителите ја имплементираат функцијата на најмалку три начини: помошник на протоколот што следи или препишува состојба; исклучок во филтерот што го спречува отфрлањето на ESP; или режим на компатибилност наменет за постари клиенти. Ознаката во веб-интерфејсот ретко кажува која од трите ја имате. Само белешките за фирмверот или снимање пакети ќе го кажат тоа.

Помошникот може и да ја влоши состојбата. Помош напишана за постар тек понекогаш пречи на клиент што преводот веќе го обработува правилно. Кога современ клиент работи со исклучена опција, оставање исклучена е подобра конфигурација.

Пропуштањето никогаш не му ги дава на рутерот клучевите на партнерите. Тој сѐ уште ги гледа надворешните адреси и порти и сѐ уште ја применува сопствената политика за препраќање врз нив.

NAT и NAT-T одлучуваат за патеката

IPsec не бил изграден да го преживее преводот на адреси, затоа стандардите додадоа обвивка. NAT traversal го инкапсулира ESP во UDP, дозволувајќи обична NAT табела да го носи текот, а преговорите се договараат за таа промена за време на IKE (RFC 3948). Самиот IKE користи UDP 500, додека инкапсулираниот пат обично користи UDP 4500.

Затоа правило за огнен ѕид што дозволува само протокол 50 не е доволно на преведен пат. Блокирањето на 4500 го крши случајот за кој постои обвивката, а блокирањето на 500 ги запира преговорите пред да се создаде каков било тунел. Двете насоки се важни, бидејќи рутер што ја следи состојбата обично го дозволува одговорот само откако го видел барањето. Да се стигне до порта не е исто како да се заврши автентикацијата, ниту како да се препрати заштитен сообраќај.

Постарите поставки се разликуваат доволно за да може водич напишан за нив да заведе. Кога клиентот ги нуди двата режима, тестирајте го тој што го документира вашиот партнер, а не тој со повеќе резултати од пребарување.

Најдете ја фазата што паѓа

Поделете го проблемот на преговори, автентикација, заштита на детето и внатрешно препраќање, потоа собирајте докази за една фаза одеднаш. Рестартирањето што привремено го менува резултатот докажува само дека била вклучена некаква состојба.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Снимањето покажува дали размената стигнува до партнерот и дали одговорите се враќаат, што го одделува проблемот со филтрирање од проблемот со акредитиви. Списокот на состојби ги покажува воспоставените безбедносни асоцијации, па празен список по обид упатува на преговори, а не на рутирање. Списокот на политики покажува кои селектори се инсталирани, и токму таму се исклучува одредиште надвор од подмрежата. Прочитајте ги двете излези на xfrm пред да го допрете рутерот, бидејќи тие опишуваат што верува домаќинот, а не што дозволува рутерот.

Ако пакетите излегуваат и ништо не се враќа, преместете го снимањето на WAN страната на рутерот. Споредбата на двете снимки го лоцира отфрлањето без погодување.

Исклучете го она што не ви треба

Еден работен преносен компјутер не докажува дека рутерот опслужува неколку клиенти истовремено. Секој клиент создава сопствена состојба на превод и сопствени преговори, а некои помошници следат само еден тек. Тестирајте го бројот на истовремени сесии што навистина ви се потребни, од мрежите што навистина ги користите. Ако вториот клиент не успее додека првиот напредува, тоа е наодот, а не нестабилен тунел.

Оставете ја опцијата вклучена само кога снимањето покажува дека е потребна. Забележете ја верзијата на фирмверот покрај резултатот, бидејќи овие однесувања се менуваат меѓу изданијата. Целта е клиентски тунел што сте го провериле, а не прекинувач вклучен со надеж.