Kif jaħdem IPsec ibbażat fuq rotot ma' interface XFRM

IPsec ibbażat fuq rotot jgħaddi lit-tabella tar-rotot deċiżjoni li qabel kienu jieħdu s-seletturi tal-politika. Fuq Linux, il-biċċa li tagħmel dan possibbli hija l-interface XFRM: apparat virtwali li t-traffiku tiegħu jitqabbel mal-istat IPsec permezz ta' identifikatur tal-interface minflok permezz ta' selettur. Il-ħolqien ta' wieħed jieħu kmand wieħed u ma jipprova xejn dwar jekk teżistix mina. L-apparat huwa ganċ bejn ir-rotot u l-politika tas-sigurtà, u ż-żewġ naħat ta' dak il-ganċ iridu jiġu kkonfigurati qabel ma jiġi protett xejn.

X'inhu l-apparat u x'inhu mhux

Interface XFRM hija manku tar-rotot. Il-pakketti li jiġu rrotati fiha jitqabblu ma' politiki XFRM li jirreferenzaw l-istess identifikatur tal-interface, u jekk teżisti politika u stat, jiġu inkapsulati. Mingħajr dawk, l-interface teżisti, il-kontaturi jibqgħu weqfin, u t-traffiku jmur f'post li mhuwiex utli.

Dan huwa l-ewwel qsim dijanjostiku. Rotta fl-apparat hija fatt tar-rotot, stat installat huwa fatt tas-sigurtà, u kontatur li qed jogħla fuq l-apparat mhuwiex la wieħed u lanqas l-ieħor. Meta n-nies jgħidu li l-mina hija miftuħa għax l-interface turi UP, qed jiddeskrivu l-bnadar tal-konnessjoni ta' apparat virtwali li m'għandux sieħeb tiegħu stess. Il-bandiera tfisser li l-apparat inħoloq u ġie attivat, xejn aktar.

Frar ieħor: l-identifikatur tal-interface mhuwiex isem. Żewġ apparati b'ismijiet simili u identifikaturi differenti ma jaqsmu l-ebda stat, u konnessjoni kkonfigurata bl-identifikatur żbaljat tinstalla stat li ebda rotta qatt mhi se tuża.

Ibni waħda fl-ordni t-tajba

Ibda mill-apparat ta' barra u minn numru li se tpoġġi wkoll fil-konfigurazzjoni tad-daemon. L-eżempju juża eth0 bħala l-interface ta' barra u 42 bħala l-identifikatur, indirizzi li għandek tissostitwixxi b'dawk tiegħek.

Tellgħa l-apparat, imbagħad ikkonferma l-identifikatur li rreġistra l-kernel qabel ma tmiss il-konfigurazzjoni VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Issa kkonfigura l-konnessjoni fi strongSwan bl-istess identifikatur, għax id-daemon irid jinstalla politiki u stati li jirreferenzawh. Issettja s-seletturi tat-traffiku lokali u remot għall-firxa li beħsiebek tirrotta, imbagħad irrotta dik il-firxa fl-apparat. Il-konfigurazzjoni tad-daemon u t-tabella tar-rotot iridu jaqblu kemm dwar l-identifikatur kif ukoll dwar id-destinazzjonijiet, u l-ebda waħda ma tipprovdi lill-oħra.

Żomm IKE u ESP barra mir-rotta tal-mina

Rotta awtomatika li tpoint lejn l-apparat XFRM taqbad il-pakketti inkapsulati kif ukoll it-traffiku li jġorru. Ir-riżultat huwa linja: il-gateway jipprova jibgħat l-ESP tiegħu stess mill-mina li l-ESP suppost jibni.

Is-soluzzjoni hija rotta aktar speċifika għall-indirizz ta' barra tas-sieħeb mill-interface fiżika, li tegħleb dik awtomatika għax taqbel ma' aktar bits. Ir-rotot ibbażati fuq marki jagħmlu l-istess xogħol meta diversi mini jaqsmu tabella waħda, u strongSwan jiddokumenta ż-żewġ approċċi għal installazzjonijiet ibbażati fuq rotot.

X'tagħżel, ivverifika li l-pakkett ta' barra joħroġ mingħajr inksapsulament. Kontroll mgħaġġel huwa li tagħmel ping lill-indirizz ta' barra tas-sieħeb wara li l-mina tittella', u jekk dan ifalli waqt li l-interface hija miftuħa, issuspetta qbid aktar milli aċċessibilità. L-istess raġunament japplika għall-port IKE, għax it-traffiku UDP tad-daemon innifsu ma għandux jiġi rrotat fl-apparat li qed jipprova jistabbilixxi.

Iċċekkja l-kontaturi f'żewġ postijiet qabel ma tagħti ħtija lill-encryption

Il-kontaturi tal-interface u l-kontaturi tal-istat ikejlu stadji differenti. Il-pakketti rrotati fl-apparat iżidu l-apparat anki meta l-ebda stat ma jaqbel, filwaqt li l-kontaturi tal-istat jiċċaqalqu biss għat-traffiku li fil-fatt ġie inkapsulat.

Aqra t-tnejn, imbagħad aqra l-ħsieb tad-daemon dwar l-assoċjazzjoni tifel:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Kontaturi tal-apparat li jogħlew b'output tal-istat vojt ifissru li r-rotot jaħdmu u l-politika ma taqbilx, normalment żball fl-identifikatur jew fis-selettur. Kontaturi tal-istat li jogħlew waqt li l-ġenb remot ma jirrapporta xejn ifissru li l-pakketti joħorġu iżda ma jaslux jew ifallu l-awtentikazzjoni, li jindika l-passaġġ jew il-konfigurazzjoni tas-sieħeb. Assoċjazzjoni tifel elenkata b'traffiku żero hija problema tas-selettur f'tarf wieħed, mhux sifra miksura.

Iddeċiedi min jinstalla r-rotot

Żewġ sidien għal tabella waħda tar-rotot huma s-sors tas-soltu tal-flapping. Jekk id-daemon jinstalla r-rotot awtomatikament, il-maniġer tan-netwerk tiegħek m'għandux ukoll jinstalla rotta awtomatika mill-istess apparat, u rotta manwali miżjuda minn script tal-bidu titneħħa l-ħin li jmiss li d-daemon jikkonfigura mill-ġdid.

Agħżel sid wieħed u iktibha. Meta d-daemon jippossjedi r-rotot, żomm l-iskript tal-bidu barra mit-tabella u ħalli d-definizzjoni tal-konnessjoni tiddeskrivi s-seletturi tat-traffiku. Meta l-maniġer tan-netwerk jippossjedihom, itfi l-installazzjoni awtomatika u aċċetta li d-daemon mhux se jsewwi rotta neqsin meta jerġa' jikkonnettja.

Ir-regoli tat-trażmissjoni 'l quddiem u tal-firewall huma deċiżjoni separata fuq dan, għax gateway li jgħaddi traffiku ta' hosts oħra għandu bżonn it-tnejn. IPsec ibbażat fuq rotot jagħmel dak it-traffiku faċli biex jiġi espress bi għodda tar-rotot ordinarji; ma jagħmilx il-livell tal-politika fakultattiv.