വീട്ടിലെ റൗട്ടറിൽ IPsec പാസ്-ത്രൂ: അത് യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു

റൗട്ടറിന്റെ പാസ്-ത്രൂ സ്വിച്ചുകൾ അവയുടെ പിന്നിലുള്ള ഉപകരണത്തിനുള്ള ഫോർവേഡിംഗ് ഇളവുകളാണ്, VPN സേവനങ്ങളല്ല. അവ റൗട്ടറിനെ ക്ലയന്റായി രജിസ്റ്റർ ചെയ്യുന്നില്ല, ക്രെഡൻഷ്യലുകൾ സൂക്ഷിക്കുന്നില്ല, വീട്ടിലെ ഓരോ ഉപകരണത്തെയും വിദൂര എക്സിറ്റിലൂടെ കടത്തിവിടുന്നുമില്ല. അവ ചെയ്യുന്നത് ഒരു പ്രോട്ടോക്കോൾ വിലാസ വിവർത്തനത്തെയും ഫിൽട്ടറുകളെയും എങ്ങനെ കടക്കുന്നു എന്ന് രൂപപ്പെടുത്തുന്നതാണ്. അത് വ്യക്തമായാൽ സ്വിച്ച് പരിശോധിക്കാൻ എളുപ്പവും ഓഫ് ആക്കി വെക്കാൻ എളുപ്പവുമാണ്.

റൗട്ടർ യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു

റൗട്ടർ ഒരു ക്ലയന്റിനും IPsec പങ്കാളിക്കും ഇടയിൽ ഇരുന്ന്, മനസ്സിലാക്കാൻ ഒരിക്കലും രൂപകൽപ്പന ചെയ്യാത്ത പാക്കറ്റുകൾ ഫോർവേഡ് ചെയ്യുന്നു. നിർമ്മാതാക്കൾ ഈ സവിശേഷത കുറഞ്ഞത് മൂന്ന് രീതിയിൽ നടപ്പാക്കുന്നു: അവസ്ഥ കണ്ടെത്തുകയോ വീണ്ടും എഴുതുകയോ ചെയ്യുന്ന പ്രോട്ടോക്കോൾ സഹായി, ESP വീഴ്ത്തുന്നത് നിർത്തുന്ന ഫിൽട്ടർ ഒഴിവ്, അല്ലെങ്കിൽ പഴയ ക്ലയന്റുകൾക്കായുള്ള അനുയോജ്യത മോഡ്. വെബ് ഇന്റർഫേസിലെ ലേബൽ മൂന്നിൽ ഏതാണ് നിങ്ങൾക്കുള്ളതെന്ന് അപൂർവമായി മാത്രമേ പറയൂ. ഫേംവെയർ കുറിപ്പുകളോ പാക്കറ്റ് ക്യാപ്ചറോ മാത്രമേ അത് പറയൂ.

സഹായി കാര്യങ്ങൾ കൂടുതൽ മോശമാക്കിയേക്കാം. പഴയ ഫ്ലോയ്ക്കായി എഴുതിയ സഹായം ചിലപ്പോൾ വിവർത്തനം ഇതിനകം ശരിയായി കൈകാര്യം ചെയ്യുന്ന ക്ലയന്റിനെ തടസ്സപ്പെടുത്തുന്നു. ആധുനിക ക്ലയന്റ് ഓപ്ഷൻ ഓഫ് ആക്കി പ്രവർത്തിക്കുമ്പോൾ, അത് ഓഫ് ആക്കി വെക്കുന്നതാണ് മികച്ച ക്രമീകരണം.

പാസ്-ത്രൂ ഒരിക്കലും റൗട്ടറിന് പങ്കാളികളുടെ കീകൾ നൽകുന്നില്ല. അത് ഇപ്പോഴും പുറം വിലാസങ്ങളും പോർട്ടുകളും കാണുന്നു, ഇപ്പോഴും അവയിൽ സ്വന്തം ഫോർവേഡിംഗ് നയം പ്രയോഗിക്കുന്നു.

NAT ഉം NAT-T യും പാത തീരുമാനിക്കുന്നു

IPsec വിലാസ വിവർത്തനത്തെ അതിജീവിക്കാൻ നിർമ്മിച്ചതല്ല, അതിനാൽ മാനദണ്ഡങ്ങൾ ഒരു ആവരണം ചേർത്തു. NAT ട്രാവേഴ്സൽ ESP യെ UDP യുടെ ഉള്ളിൽ ഒതുക്കി, സാധാരണ NAT പട്ടികയ്ക്ക് ഫ്ലോ വഹിക്കാൻ അനുവദിക്കുന്നു, ചർച്ച IKE സമയത്ത് ആ മാറ്റത്തിൽ യോജിക്കുന്നു (RFC 3948). IKE തന്നെ UDP 500 ഉപയോഗിക്കുന്നു, എന്നാൽ ആവരണം ചെയ്ത പാത സാധാരണയായി UDP 4500 ഉപയോഗിക്കുന്നു.

അതുകൊണ്ടാണ് പ്രോട്ടോക്കോൾ 50 മാത്രം അനുവദിക്കുന്ന ഫയർവാൾ നിയമം വിവർത്തനം ചെയ്ത പാതയിൽ മതിയാകാത്തത്. 4500 തടയുന്നത് ആവരണം ഉണ്ടാകാനുള്ള കാരണമായ സന്ദർഭം തകർക്കുന്നു, 500 തടയുന്നത് ഏതെങ്കിലും ടണൽ രൂപപ്പെടുന്നതിന് മുമ്പ് ചർച്ച നിർത്തുന്നു. രണ്ട് ദിശകളും പ്രധാനമാണ്, കാരണം അവസ്ഥ പിന്തുടരുന്ന റൗട്ടർ സാധാരണയായി അഭ്യർത്ഥന കണ്ടതിന് ശേഷം മാത്രമേ മറുപടി അനുവദിക്കൂ. ഒരു പോർട്ടിലെത്തുന്നത് പ്രാമാണീകരണം പൂർത്തിയാക്കുന്നതിന് തുല്യമല്ല, സംരക്ഷിത ട്രാഫിക് ഫോർവേഡ് ചെയ്യുന്നതിനും തുല്യമല്ല.

പഴയ ക്രമീകരണങ്ങൾ വേറിട്ടതാണ്, അതിനാൽ അവയ്ക്കായി എഴുതിയ ഗൈഡ് തെറ്റിദ്ധരിപ്പിച്ചേക്കാം. ക്ലയന്റ് രണ്ട് മോഡുകളും വാഗ്ദാനം ചെയ്യുമ്പോൾ, കൂടുതൽ തിരയൽ ഫലങ്ങളുള്ളതല്ല, നിങ്ങളുടെ പങ്കാളി രേഖപ്പെടുത്തിയത് പരിശോധിക്കുക.

പരാജയപ്പെടുന്ന ഘട്ടം കണ്ടെത്തുക

പ്രശ്നത്തെ ചർച്ച, പ്രാമാണീകരണം, ശിശു സംരക്ഷണം, ആന്തരിക ഫോർവേഡിംഗ് എന്നിവയായി വിഭജിച്ച്, ഓരോ തവണയും ഒരു ഘട്ടത്തിന് തെളിവ് ശേഖരിക്കുക. ഫലം താൽക്കാലികമായി മാറ്റുന്ന റീബൂട്ട് ഏതോ ഒരു അവസ്ഥ ഉൾപ്പെട്ടിരുന്നു എന്ന് മാത്രം തെളിയിക്കുന്നു.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

ക്യാപ്ചർ കൈമാറ്റം പങ്കാളിയിലെത്തുന്നുണ്ടോ, മറുപടികൾ തിരികെ വരുന്നുണ്ടോ എന്ന് കാണിക്കുന്നു, അത് ഫിൽട്ടർ പ്രശ്നത്തെ ക്രെഡൻഷ്യൽ പ്രശ്നത്തിൽ നിന്ന് വേർതിരിക്കുന്നു. അവസ്ഥാ പട്ടിക സ്ഥാപിത സുരക്ഷാ അസോസിയേഷനുകൾ കാണിക്കുന്നു, അതിനാൽ ശ്രമത്തിന് ശേഷമുള്ള ശൂന്യമായ പട്ടിക റൗട്ടിംഗിനെക്കാൾ ചർച്ചയിലേക്ക് വിരൽ ചൂണ്ടുന്നു. നയ പട്ടിക ഏത് സെലക്ടറുകളാണ് ഇൻസ്റ്റാൾ ചെയ്തിരിക്കുന്നതെന്ന് കാണിക്കുന്നു, സബ്നെറ്റിന് പുറത്തുള്ള ലക്ഷ്യം ഒഴിവാക്കുന്നത് അവിടെയാണ്. റൗട്ടർ തൊടുന്നതിന് മുമ്പ് xfrm ന്റെ രണ്ട് ഔട്ട്പുട്ടുകളും വായിക്കുക, കാരണം അവ റൗട്ടർ എന്ത് അനുവദിക്കുന്നു എന്നല്ല, ഹോസ്റ്റ് എന്ത് വിശ്വസിക്കുന്നു എന്നാണ് വിവരിക്കുന്നത്.

പാക്കറ്റുകൾ പുറത്തുപോയി ഒന്നും തിരികെ വരുന്നില്ലെങ്കിൽ, ക്യാപ്ചർ റൗട്ടറിന്റെ WAN വശത്തേക്ക് മാറ്റുക. രണ്ട് ക്യാപ്ചറുകൾ താരതമ്യം ചെയ്യുന്നത് ഊഹിക്കാതെ വീഴ്ചയുടെ സ്ഥാനം കണ്ടെത്തുന്നു.

ആവശ്യമില്ലാത്തത് ഓഫ് ചെയ്യുക

ഒരു ലാപ്ടോപ്പ് പ്രവർത്തിക്കുന്നത് റൗട്ടർ ഒരേസമയം നിരവധി ക്ലയന്റുകളെ കൈകാര്യം ചെയ്യുന്നു എന്ന് തെളിയിക്കുന്നില്ല. ഓരോ ക്ലയന്റും സ്വന്തം വിവർത്തന അവസ്ഥയും സ്വന്തം ചർച്ചയും സൃഷ്ടിക്കുന്നു, ചില സഹായികൾ ഒരു ഫ്ലോ മാത്രം പിന്തുടരുന്നു. നിങ്ങൾക്ക് യഥാർത്ഥത്തിൽ വേണ്ട ഒരേസമയ സെഷനുകളുടെ എണ്ണം നിങ്ങൾ യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന നെറ്റ്വർക്കുകളിൽ നിന്ന് പരിശോധിക്കുക. ആദ്യത്തേത് നന്നായി പോകുമ്പോൾ രണ്ടാമത്തെ ക്ലയന്റ് പരാജയപ്പെട്ടാൽ, അതാണ് കണ്ടെത്തൽ, അസ്ഥിരമായ ടണൽ അല്ല.

ക്യാപ്ചർ ആവശ്യമാണെന്ന് കാണിച്ചാൽ മാത്രം ഓപ്ഷൻ ഓൺ ആക്കി വെക്കുക. ഫലത്തിന് അടുത്ത് ഫേംവെയർ പതിപ്പ് എഴുതുക, കാരണം ഈ സ്വഭാവങ്ങൾ റിലീസുകൾക്കിടയിൽ മാറുന്നു. ലക്ഷ്യം നിങ്ങൾ പരിശോധിച്ച ക്ലയന്റ് ടണലാണ്, പ്രതീക്ഷയോടെ ഓൺ ചെയ്ത സ്വിച്ചല്ല.