घरातील राउटरवर IPsec पास-थ्रू: तो प्रत्यक्षात काय करतो

राउटरचे पास-थ्रू स्विच त्यांच्या मागील उपकरणासाठी फॉरवर्डिंग सवलती आहेत, VPN सेवा नाहीत। ते राउटरला क्लायंट म्हणून नोंदवत नाहीत, क्रेडेन्शियल ठेवत नाहीत आणि घरातील प्रत्येक उपकरण दूरच्या बाहेर जाण्याच्या मार्गाने पाठवत नाहीत। ते जे करतात ते म्हणजे एक प्रोटोकॉल पत्ता अनुवाद आणि फिल्टर कसा ओलांडतो हे घडवणे। हे स्पष्ट झाल्यावर स्विच तपासणे सोपे आणि बंद ठेवणेही सोपे होते।

राउटर प्रत्यक्षात काय करतो

राउटर क्लायंट आणि IPsec सहकारी यांच्यामध्ये बसतो आणि समजून घेण्यासाठी कधीही रचले न गेलेले पॅकेट फॉरवर्ड करतो। उत्पादक हे वैशिष्ट्य किमान तीन प्रकारे लागू करतात: स्थिती मागोवा घेणारा किंवा पुन्हा लिहिणारा प्रोटोकॉल सहाय्यक, ESP टाकून देणे थांबवणारा फिल्टर अपवाद, किंवा जुन्या क्लायंटसाठीचा सुसंगतता मोड। वेब इंटरफेसवरील लेबल तीनपैकी कोणता तुमच्याकडे आहे हे क्वचितच सांगते। फक्त फर्मवेअर नोट्स किंवा पॅकेट कॅप्चर ते सांगतील।

सहाय्यक गोष्टी अधिक बिघडवू शकतो। जुन्या प्रवाहासाठी लिहिलेली मदत कधीकधी अनुवाद आधीच योग्यरीत्या हाताळणाऱ्या क्लायंटमध्ये अडथळा आणते। जेव्हा आधुनिक क्लायंट पर्याय बंद ठेवून काम करतो, तेव्हा तो बंद ठेवणे हे चांगले संरचना आहे।

पास-थ्रू कधीही राउटरला सहकाऱ्यांच्या किल्ल्या देत नाही। तो अजूनही बाह्य पत्ते आणि पोर्ट पाहतो, आणि अजूनही त्यावर स्वतःचे फॉरवर्डिंग धोरण लागू करतो।

NAT आणि NAT-T मार्ग ठरवतात

IPsec पत्ता अनुवाद टिकून राहण्यासाठी बनवलेले नाही, म्हणून मानकांनी एक आवरण जोडले। NAT ट्राव्हर्सल ESP ला UDP मध्ये गुंडाळते, ज्यामुळे सामान्य NAT तक्ता प्रवाह वाहू शकतो, आणि वाटाघाटी IKE दरम्यान त्या बदलावर सहमत होते (RFC 3948)। IKE स्वतः UDP 500 वापरते, तर आवरण केलेला मार्ग सामान्यतः UDP 4500 वापरतो।

म्हणून फक्त प्रोटोकॉल 50 ला परवानगी देणारा फायरवॉल नियम अनुवादित मार्गावर पुरेसा नाही। 4500 अडवणे हे आवरण ज्यासाठी आहे ती स्थिती तोडते, आणि 500 अडवणे कोणताही बोगदा तयार होण्यापूर्वी वाटाघाटी थांबवते। दोन्ही दिशा महत्त्वाच्या आहेत, कारण स्थिती-जागरूक राउटर सामान्यतः विनंती पाहिल्यानंतरच उत्तराला परवानगी देतो। पोर्टपर्यंत पोहोचणे हे प्रमाणीकरण पूर्ण करण्यासारखे नाही, आणि संरक्षित रहदारी फॉरवर्ड करण्यासारखेही नाही।

जुन्या व्यवस्था पुरेशा वेगळ्या आहेत की त्यांच्यासाठी लिहिलेला मार्गदर्शक दिशाभूल करू शकतो। जेव्हा क्लायंट दोन्ही मोड देऊ करतो, तेव्हा अधिक शोध परिणाम असलेल्याऐवजी तुमचा सहकारी ज्याचे दस्तऐवजीकरण करतो त्याची चाचणी करा।

अपयशी टप्पा शोधा

समस्येचे वाटाघाटी, प्रमाणीकरण, अपत्य संरक्षण आणि अंतर्गत फॉरवर्डिंगमध्ये विभाजन करा, नंतर एका वेळी एका टप्प्यासाठी पुरावे गोळा करा। निकाल तात्पुरता बदलणारा रीबूट काही स्थिती सहभागी होती एवढेच सिद्ध करतो।

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

कॅप्चर दाखवते की देवाणघेवाण सहकाऱ्यापर्यंत पोहोचते का आणि उत्तरे परत येतात का, जे फिल्टर समस्या क्रेडेन्शियल समस्येपासून वेगळी करते। स्थिती यादी प्रस्थापित सुरक्षा संलग्नता दाखवते, म्हणून प्रयत्नानंतरची रिकामी यादी राउटिंगऐवजी वाटाघाटीकडे निर्देश करते। धोरण यादी कोणते निवडक स्थापित आहेत हे दाखवते, आणि तिथेच सबनेटबाहेरील गंतव्य वगळले जाते। राउटरला स्पर्श करण्यापूर्वी xfrm चे दोन्ही आउटपुट वाचा, कारण ते राउटर काय परवानगी देतो हे नाही, तर यजमान काय मानतो हे वर्णन करतात।

जर पॅकेट बाहेर जातात आणि काहीही परत येत नाही, तर कॅप्चर राउटरच्या WAN बाजूला हलवा। दोन्ही कॅप्चरची तुलना अंदाज न लावता टाकून देण्याचे स्थान शोधते।

ज्याची गरज नाही ते बंद करा

एक कार्यरत लॅपटॉप राउटर एकाच वेळी अनेक क्लायंट हाताळतो हे सिद्ध करत नाही। प्रत्येक क्लायंट स्वतःची अनुवाद स्थिती आणि स्वतःची वाटाघाटी तयार करतो, आणि काही सहाय्यक फक्त एक प्रवाह मागोवा घेतात। तुम्हाला खरोखर आवश्यक असलेल्या एकाच वेळच्या सत्रांची संख्या तुम्ही खरोखर वापरता त्या नेटवर्कमधून तपासा। जर पहिला चांगला चालत असताना दुसरा क्लायंट अयशस्वी झाला, तर तीच शोध आहे, अस्थिर बोगदा नाही।

कॅप्चर आवश्यक असल्याचे दाखवल्यावरच पर्याय चालू ठेवा। निकालाच्या शेजारी फर्मवेअर आवृत्ती नोंदवा, कारण ही वर्तन आवृत्त्यांमध्ये बदलतात। ध्येय तुम्ही पडताळलेला क्लायंट बोगदा आहे, आशेने चालू केलेला स्विच नाही।