घरायुक्त राउटरमा IPsec पास-थ्रु: यसले वास्तवमा के गर्छ

राउटरका पास-थ्रु स्विचहरू तिनका पछाडिको उपकरणका लागि फर्वार्डिङ सहुलियत हुन्, VPN सेवा होइनन्। तिनले राउटरलाई ग्राहकको रूपमा दर्ता गर्दैनन्, प्रमाणहरू राख्दैनन् र घरको हरेक उपकरणलाई टाढाको निकासबाट पठाउँदैनन्। तिनले गर्ने काम भनेको एउटा प्रोटोकलले ठेगाना अनुवाद र फिल्टरहरू कसरी पार गर्छ भन्ने आकार दिनु हो। त्यो स्पष्ट भएपछि स्विच परीक्षण गर्न पनि सजिलो र बन्द राख्न पनि सजिलो हुन्छ।

राउटरले वास्तवमा के गर्छ

राउटर ग्राहक र IPsec साथीबीच बस्छ र बुझ्नका लागि कहिल्यै नबनाइएका प्याकेट फर्वार्ड गर्छ। उत्पादकहरूले यो सुविधा कम्तीमा तीन तरिकाले लागू गर्छन्: अवस्था ट्र्याक वा पुनःलेखन गर्ने प्रोटोकल सहायक, ESP खसाल्ने रोक्ने फिल्टर अपवाद, वा पुराना ग्राहकका लागि अनुकूलता मोड। वेब इन्टरफेसमा रहेको लेबलले तीनमध्ये कुन तपाईंसँग छ भनी विरलै भन्छ। फर्मवेयर नोट वा प्याकेट क्याप्चरले मात्र त्यो भन्नेछ।

सहायकले कुरा अझ बिगार्न सक्छ। पुरानो प्रवाहका लागि लेखिएको सहयोगले कहिलेकाहीँ अनुवाद पहिले नै ठीकसँग सम्हाल्ने ग्राहकमा बाधा पुर्याउँछ। जब आधुनिक ग्राहक विकल्प बन्द राखेर चल्छ, त्यसलाई बन्द राख्नु राम्रो कन्फिगरेसन हो।

पास-थ्रुले कहिल्यै राउटरलाई साथीहरूका कुञ्जी दिँदैन। यसले अझै बाह्य ठेगाना र पोर्ट देख्छ, र अझै तिनमा आफ्नै फर्वार्डिङ नीति लागू गर्छ।

NAT र NAT-T ले बाटो तय गर्छन्

IPsec ठेगाना अनुवाद टिक्नका लागि बनाइएको थिएन, त्यसैले मापदण्डहरूले एउटा आवरण थपे। NAT ट्राभर्सलले ESP लाई UDP भित्र समेट्छ, जसले साधारण NAT तालिकालाई प्रवाह बोक्न दिन्छ, र वार्ताले IKE का क्रममा त्यो परिवर्तनमा सहमति जनाउँछ (RFC 3948)। IKE आफैले UDP 500 प्रयोग गर्छ, जबकि आवरण गरिएको बाटोले सामान्यतया UDP 4500 प्रयोग गर्छ।

त्यसैले केवल प्रोटोकल 50 लाई अनुमति दिने फायरवाल नियम अनुवादित बाटोमा पर्याप्त हुँदैन। 4500 अवरुद्ध गर्दा आवरण जसका लागि छ त्यो अवस्था भाँचिन्छ, र 500 अवरुद्ध गर्दा कुनै सुरुङ बन्नुअघि वार्ता रोकिन्छ। दुवै दिशा महत्त्वपूर्ण छन्, किनकि अवस्था-सचेत राउटरले सामान्यतया अनुरोध देखेपछि मात्र जवाफलाई अनुमति दिन्छ। पोर्टसम्म पुग्नु प्रमाणीकरण सक्नुसँग बराबर होइन, र सुरक्षित ट्राफिक फर्वार्ड गर्नुसँग पनि बराबर होइन।

पुराना व्यवस्थाहरू पर्याप्त फरक छन् कि तिनका लागि लेखिएको निर्देशिकाले बाटो बिराउन सक्छ। जब ग्राहकले दुवै मोड प्रस्ताव गर्छ, बढी खोज नतिजा भएको होइन, तपाईंको साथीले कागजात गरेको परीक्षण गर्नुहोस्।

असफल हुने चरण खोज्नुहोस्

समस्यालाई वार्ता, प्रमाणीकरण, सन्तान संरक्षण र आन्तरिक फर्वार्डिङमा बाँड्नुहोस्, त्यसपछि एक पटकमा एउटा चरणका लागि प्रमाण जम्मा गर्नुहोस्। नतिजा अस्थायी रूपमा बदल्ने रिबुटले कुनै अवस्था संलग्न थियो भन्ने मात्र प्रमाणित गर्छ।

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

क्याप्चरले आदानप्रदान साथीसम्म पुग्छ कि र जवाफ फर्कन्छ कि देखाउँछ, जसले फिल्टर समस्यालाई प्रमाण समस्याबाट अलग गर्छ। अवस्था सूचीले स्थापित सुरक्षा सम्बन्ध देखाउँछ, त्यसैले प्रयासपछिको खाली सूचीले राउटिङ होइन वार्तातर्फ संकेत गर्छ। नीति सूचीले कुन चयनकर्ता स्थापित छन् देखाउँछ, र त्यहीँ सबनेटबाहिरको गन्तव्य बहिष्कृत हुन्छ। राउटर छुनुअघि xfrm का दुवै आउटपुट पढ्नुहोस्, किनकि तिनले राउटर के अनुमति दिन्छ होइन, होस्ट के विश्वास गर्छ वर्णन गर्छन्।

यदि प्याकेट बाहिर जान्छन् र केही फर्कँदैन, क्याप्चरलाई राउटरको WAN तर्फ सार्नुहोस्। दुई क्याप्चर तुलना गर्दा अनुमान नगरी खसालिएको स्थान पत्ता लाग्छ।

नचाहिने कुरा बन्द गर्नुहोस्

एउटा चल्ने ल्यापटपले राउटरले एकैपटक धेरै ग्राहक सम्हाल्छ भन्ने प्रमाणित गर्दैन। हरेक ग्राहकले आफ्नै अनुवाद अवस्था र आफ्नै वार्ता बनाउँछ, र केही सहायकले एउटै प्रवाह मात्र ट्र्याक गर्छन्। तपाईंलाई वास्तवमै चाहिने एकैसाथका सत्रको संख्या तपाईंले वास्तवमै प्रयोग गर्ने नेटवर्कबाट परीक्षण गर्नुहोस्। यदि पहिलो राम्रोसँग चल्दा दोस्रो ग्राहक असफल भयो भने त्यही निष्कर्ष हो, अस्थिर सुरुङ होइन।

क्याप्चरले आवश्यक देखाएपछि मात्र विकल्प खुला राख्नुहोस्। नतिजाको छेउमा फर्मवेयर संस्करण नोट गर्नुहोस्, किनकि यी व्यवहार संस्करणहरूबीच बदलिन्छन्। लक्ष्य तपाईंले प्रमाणित गरेको ग्राहक सुरुङ हो, आशाले खोलेको स्विच होइन।