Гэрийн чиглүүлэгч дээрх IPsec дамжуулалт: энэ үнэхээр юу хийдэг вэ

Чиглүүлэгчийн дамжуулах унтраалгууд нь тэдний ард байгаа төхөөрөмжид олгосон дамжуулалтын зөвшөөрөл бөгөөд VPN үйлчилгээ биш. Тэд чиглүүлэгчийг клиентээр бүртгэдэггүй, нэвтрэх мэдээллийг хадгалдаггүй, гэрийн бүх төхөөрөмжийг алсын гаралтаар дамжуулдаггүй. Тэдний хийдэг зүйл бол нэг протокол хаягийн хөрвүүлэлт ба шүүлтүүрийг хэрхэн давахыг бүрдүүлэх юм. Энэ нь тодорхой болсны дараа унтраалгыг турших ч, унтраалттай орхих ч хялбар.

Чиглүүлэгч үнэхээр юу хийдэг вэ

Чиглүүлэгч клиент ба IPsec түншийн хооронд зогсож, ойлгохоор зохиогдоогүй пакетуудыг дамжуулдаг. Үйлдвэрлэгчид энэ функцийг дор хаяж гурван аргаар хэрэгжүүлдэг: төлөвийг хянах эсвэл дахин бичих протоколын туслах, ESP-ийг хаяхыг зогсоох шүүлтүүрийн үл хамаарах зүйл, эсвэл хуучин клиентүүдэд зориулсан нийцлийн горим. Вэб интерфэйс дээрх шошго гурвын алийг нь танд байгааг ховор хэлдэг. Зөвхөн firmware-ийн тэмдэглэл эсвэл пакет бичлэг л үүнийг хэлнэ.

Туслах байдлыг улам дордуулж болно. Хуучин урсгалд зориулж бичсэн тусламж заримдаа хөрвүүлэлтийг аль хэдийн зөв боловсруулж буй клиентэд саад болдог. Орчин үеийн клиент сонголт унтарсан үед ажиллаж байгаа бол түүнийг унтраалттай орхих нь илүү сайн тохиргоо.

Дамжуулалт нь чиглүүлэгчид түншүүдийн түлхүүрийг хэзээ ч өгдөггүй. Энэ нь гадаад хаяг, портыг хараахан харж, тэдгээрт өөрийн дамжуулалтын бодлогыг хэрэглэсээр байна.

NAT ба NAT-T замыг шийддэг

IPsec нь хаягийн хөрвүүлэлтийг даван туулахаар бүтээгдээгүй тул стандартууд бүрхүүл нэмсэн. NAT хөндлөн гаралт нь ESP-ийг UDP дотор багцалж, энгийн NAT хүснэгтэд урсгалыг зөөх боломж олгож, хэлэлцээр IKE-ийн үеэр энэ шилжүүлэлтэд санал нэгддэг (RFC 3948). IKE өөрөө UDP 500 ашигладаг бол багцлагдсан зам ихэвчлэн UDP 4500 ашигладаг.

Тиймээс зөвхөн 50 протоколыг зөвшөөрөх галт хананы дүрэм хөрвүүлсэн зам дээр хангалтгүй. 4500-ийг хаах нь бүрхүүл байх шалтгаан болсон тохиолдлыг эвдэж, 500-ийг хаах нь ямар ч туннель үүсэхээс өмнө хэлэлцээрийг зогсоодог. Хоёр чиглэл чухал, учир нь төлөвөө хянадаг чиглүүлэгч ихэвчлэн хүсэлтийг харсны дараа л хариултыг зөвшөөрдөг. Порт руу хүрэх нь баталгаажуулалтыг дуусгахтай ижил биш, хамгаалагдсан урсгалыг дамжуулахтай ч ижил биш.

Хуучин зохицуулалтууд хангалттай ялгаатай тул тэдэнд зориулж бичсэн гарын авлага төөрөгдүүлж болно. Клиент хоёр горимыг санал болговол илүү олон хайлтын үр дүнтэйг биш, таны түнш баримтжуулсныг туршаад үзээрэй.

Бүтэлгүйтэж буй үе шатыг ол

Асуудлыг хэлэлцээр, баталгаажуулалт, хүүхдийн хамгаалалт, дотоод дамжуулалт гэж хувааж, дараа нь нэг үе шатанд нотолгоо цуглуул. Үр дүнг түр өөрчилдөг дахин асаалт нь ямар нэг төлөв оролцсоныг л нотолдог.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Бичлэг нь солилцоо түншдээ хүрч байгаа эсэх, хариултууд буцаж ирж байгаа эсэхийг харуулж, шүүлтүүрийн асуудлыг нэвтрэх мэдээллийн асуудлаас тусгаарладаг. Төлөвийн жагсаалт нь тогтоосон аюулгүй байдлын холбоог харуулдаг тул оролдлогын дараах хоосон жагсаалт нь чиглүүлэлт биш хэлэлцээрийг заана. Бодлогын жагсаалт нь ямар селекторууд суулгагдсаныг харуулж, дэд сүлжээнээс гадуурх очих газрыг яг тэнд хасагддаг. Чиглүүлэгчид хүрэхээс өмнө xfrm-ийн хоёр гаралтыг уншаарай, учир нь тэдгээр нь чиглүүлэгч юу зөвшөөрдөг биш, хост юу гэж үздэгийг дүрсэлдэг.

Хэрэв пакетууд гарч, юу ч буцаж ирэхгүй бол бичлэгийг чиглүүлэгчийн WAN тал руу зөө. Хоёр бичлэгийг харьцуулах нь таамаглахгүйгээр хасагдсан газрыг тодорхойлно.

Хэрэггүй зүйлээ унтраа

Нэг ажиллаж буй зөөврийн компьютер нь чиглүүлэгч хэд хэдэн клиентийг зэрэг үйлчилдэг гэдгийг нотолохгүй. Клиент бүр өөрийн хөрвүүлэлтийн төлөв, өөрийн хэлэлцээрийг үүсгэдэг бөгөөд зарим туслах зөвхөн нэг урсгалыг хянадаг. Таны үнэхээр хэрэгтэй зэрэгцээ сессийн тоог үнэхээр ашигладаг сүлжээнээс туршаад үзээрэй. Хэрэв эхнийх нь цэцэглэж байхад хоёр дахь клиент бүтэлгүйтвэл энэ нь олдвор бөгөөд тогтворгүй туннель биш.

Сонголтыг зөвхөн бичлэг хэрэгтэй гэдгийг харуулсан үед асаалттай байлга. Үр дүнгийн хажууд firmware-ийн хувилбарыг тэмдэглэ, учир нь эдгээр зан төлөв хувилбаруудын хооронд өөрчлөгддөг. Зорилго нь таны шалгасан клиентийн туннель бөгөөд итгэл найдвараар асаасан унтраалга биш.