Laluan IPsec pada penghala rumah: apa yang sebenarnya dilakukannya

Suis laluan penghala ialah konsesi penghantaran untuk peranti di belakangnya, bukan perkhidmatan VPN. Ia tidak mendaftarkan penghala sebagai klien, tidak menyimpan kelayakan dan tidak menolak setiap peranti di rumah melalui pintu keluar jauh. Apa yang dilakukannya ialah membentuk cara satu protokol melintasi terjemahan alamat dan penapis. Setelah itu jelas, suis itu mudah diuji dan mudah dibiarkan mati.

Apa yang sebenarnya dilakukan penghala

Penghala terletak antara klien dan rakan IPsec, menghantar paket yang tidak pernah direka untuk difahaminya. Pengeluar melaksanakan ciri ini sekurang-kurangnya dengan tiga cara: pembantu protokol yang menjejaki atau menulis semula keadaan, pengecualian penapis yang menghentikan pembuangan ESP, atau mod keserasian untuk klien lama. Label dalam antara muka web jarang menyatakan yang mana antara ketiga-tiganya anda ada. Hanya nota firmware atau rakaman paket yang akan menyatakannya.

Pembantu juga boleh memburukkan keadaan. Bantuan yang ditulis untuk aliran lama kadangkala mengganggu klien yang sudah mengendalikan terjemahan dengan betul. Apabila klien moden berfungsi dengan pilihan dimatikan, membiarkannya mati ialah konfigurasi yang lebih baik.

Laluan tidak pernah memberikan kunci rakan kepada penghala. Ia masih melihat alamat dan port luar, dan masih menggunakan dasar penghantarannya sendiri padanya.

NAT dan NAT-T menentukan laluan

IPsec tidak dibina untuk bertahan melalui terjemahan alamat, jadi piawaian menambah pembalut. NAT traversal membalut ESP di dalam UDP, membolehkan jadual NAT biasa membawa aliran itu, dan rundingan bersetuju dengan pertukaran itu semasa IKE (RFC 3948). IKE sendiri menggunakan UDP 500, manakala laluan terbungkus biasanya menggunakan UDP 4500.

Itulah sebabnya peraturan tembok api yang hanya membenarkan protokol 50 tidak mencukupi pada laluan yang diterjemah. Menyekat 4500 merosakkan kes yang menyebabkan pembalut itu wujud, dan menyekat 500 menghentikan rundingan sebelum mana-mana terowong terbentuk. Kedua-dua arah penting, kerana penghala yang menjejaki keadaan biasanya hanya membenarkan balasan selepas melihat permintaan. Mencapai port tidak sama dengan menyelesaikan pengesahan, dan juga tidak sama dengan menghantar trafik yang dilindungi.

Susunan lama cukup berbeza sehingga panduan yang ditulis untuknya boleh mengelirukan. Apabila klien menawarkan kedua-dua mod, uji yang didokumenkan oleh rakan anda, bukan yang mempunyai lebih banyak hasil carian.

Cari peringkat yang gagal

Bahagikan masalah kepada rundingan, pengesahan, perlindungan anak dan penghantaran dalam, kemudian kumpulkan bukti untuk satu peringkat pada satu masa. Permulaan semula yang mengubah hasil sementara hanya membuktikan bahawa ada keadaan yang terlibat.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Rakaman menunjukkan sama ada pertukaran sampai kepada rakan dan sama ada balasan kembali, yang memisahkan masalah penapisan daripada masalah kelayakan. Senarai keadaan menunjukkan persatuan keselamatan yang terbentuk, jadi senarai kosong selepas percubaan menunjuk kepada rundingan dan bukan penghalaan. Senarai dasar menunjukkan pemilih mana yang dipasang, dan di situlah destinasi di luar subrang dikecualikan. Baca kedua-dua keluaran xfrm sebelum menyentuh penghala, kerana ia menerangkan apa yang dipercayai oleh hos, bukan apa yang dibenarkan oleh penghala.

Jika paket keluar dan tiada apa yang kembali, pindahkan rakaman ke sisi WAN penghala. Membandingkan kedua-dua rakaman menyetempatkan pembuangan tanpa meneka.

Matikan yang tidak anda perlukan

Satu komputer riba yang berfungsi tidak membuktikan penghala melayani beberapa klien serentak. Setiap klien mencipta keadaan terjemahan dan rundingannya sendiri, dan sesetengah pembantu hanya menjejaki satu aliran. Uji bilangan sesi serentak yang benar-benar anda perlukan, daripada rangkaian yang benar-benar anda gunakan. Jika klien kedua gagal manakala yang pertama berjalan lancar, itulah penemuan, bukan terowong yang goyah.

Biarkan pilihan itu hidup hanya apabila rakaman menunjukkan ia perlu. Catat versi firmware di sebelah hasil, kerana tingkah laku ini berubah antara keluaran. Matlamatnya ialah terowong klien yang anda sahkan, bukan suis yang anda hidupkan dengan harapan.