Il-passaġġ tal-IPsec fuq router tad-dar: x’jagħmel tassew

L-iswiċċijiet tal-passaġġ tar-router huma konċessjonijiet ta’ trażmissjoni għal apparat warajhom, mhux servizzi VPN. Ma jirreġistrawx ir-router bħala klijent, ma jżommux kredenzjali u ma jmexxux kull apparat fid-dar minn ħruġ remot. Dak li jagħmlu huwa li jiffurmaw kif protokoll wieħed jaqsam il-konverżjoni tal-indirizzi u l-filtri. Meta dan ikun ċar, l-iswiċċ ikun faċli biex jiġi ttestjat u faċli biex jibqa’ mitfi.

X’jagħmel tassew ir-router

Ir-router joqgħod bejn klijent u sieħeb IPsec u jgħaddi pakketti li qatt ma kien maħsub biex jifhimhom. Il-manifatturi jimplimentaw il-karatteristika b’mill-inqas tliet modi: assistent tal-protokoll li jimxi jew jerġa’ jikteb l-istat; eċċezzjoni tal-filtru li twaqqaf it-tarmis tal-ESP; jew mod ta’ kompatibilità għal klijenti eqdem. It-tikketta fl-interfaċċa web rari tgħid liema mit-tlieta għandek. Biss in-noti tal-firmware jew qabda tal-pakketti jgħidu dan.

Assistent jista’ wkoll jagħmel ħsara akbar. Għajnuna miktuba għal fluss eqdem xi drabi tfixkel klijent li diġà jittratta l-konverżjoni b’mod korrett. Meta klijent modern jaħdem bl-għażla mitfija, li tħalliha mitfija hija l-aħjar konfigurazzjoni.

Il-passaġġ qatt ma jagħti lir-router iċ-ċwievet tas-sħab. Xorta jara l-indirizzi u l-portijiet ta’ barra, u xorta japplika l-politika tat-trażmissjoni tiegħu stess fuqhom.

NAT u NAT-T jiddeċiedu l-mogħdija

IPsec ma nbena biex jgħaddi mill-konverżjoni tal-indirizzi, għalhekk l-istandards żiedu għata. In-NAT traversal iddaħħal l-ESP ġewwa l-UDP, u b’hekk tabella NAT ordinarja tista’ ġġorr il-fluss, u n-negozjati jaqblu dwar dan il-bidla waqt IKE (RFC 3948). IKE stess juża UDP 500, filwaqt li l-mogħdija mgħottija normalment tuża UDP 4500.

Għalhekk regola tal-firewall li tippermetti biss il-protokoll 50 mhijiex biżżejjed fuq mogħdija konvertita. L-imblukkar tal-4500 ikisser il-każ li għalih teżisti l-għata, u l-imblukkar tal-500 iwaqqaf in-negozjati qabel ma tifforma xi mina. Iż-żewġ direzzjonijiet huma importanti, għax router li jsegwi l-istat normalment jippermetti t-tweġiba biss wara li jkun ra t-talba. Li tasal għal port mhuwiex l-istess bħal li ttemm l-awtentikazzjoni, u lanqas bħal li tgħaddi traffiku protett.

L-arranġamenti eqdem huma differenti biżżejjed biex gwida miktuba għalihom tista’ tqarraq. Meta klijent joffri ż-żewġ modi, ipprova dak li jiddokumenta s-sieħeb tiegħek u mhux dak li għandu aktar riżultati tat-tiftix.

Sib l-istadju li jonqos

Aqsam il-problema f’negozjati, awtentikazzjoni, protezzjoni tat-tifel u trażmissjoni interna, imbagħad iġbor provi għal stadju wieħed kull darba. Restart li jbiddel ir-riżultat temporanjament juri biss li kien involut xi stat.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Il-qabda turi jekk l-iskambju jasalx għand is-sieħeb u jekk it-tweġibiet jiġux lura, li tifred problema tal-filtru minn problema tal-kredenzjali. Il-lista tal-istat turi assoċjazzjonijiet tas-sigurtà stabbiliti, għalhekk lista vojta wara prova tindika negozjati aktar milli routing. Il-lista tal-politika turi liema seletturi huma installati, u hemmhekk jiġi eskluż destinazzjoni barra s-subnet. Aqra ż-żewġ output tal-xfrm qabel ma tmiss ir-router, għax jiddeskrivu dak li jemmen il-host u mhux dak li jippermetti r-router.

Jekk il-pakketti joħorġu u xejn ma jerġa’ lura, erfa’ l-qabda għan-naħa WAN tar-router. It-tqabbil taż-żewġ qabdiet jillokalizza t-tarmis mingħajr ma wieħed jaqta’ bl-addoċċ.

Itfi dak li ma għandekx bżonn

Laptop wieħed li jaħdem ma jipprovax li r-router iservi diversi klijenti fl-istess ħin. Kull klijent joħloq l-istat tal-konverżjoni tiegħu u n-negozjati tiegħu, u xi assistenti jsegwu biss fluss wieħed. Ipprova n-numru ta’ sessjonijiet fl-istess ħin li tassew għandek bżonn, min-netwerks li tassew tuża. Jekk it-tieni klijent ifalli waqt li l-ewwel sejjer tajjeb, dik hija s-sejba u mhux mina instabbli.

Ħalli l-għażla mixgħula biss meta qabda turi li hija meħtieġa. Innota l-verżjoni tal-firmware ħdejn ir-riżultat, għax dan l-imġiba tinbidel bejn il-ħarġiet. L-għan huwa mina tal-klijent li vverifikajt, mhux swiċċ li xgħelt bit-tama.