IPsec-gjennomføringa på ein heimeruter: kva ho faktisk gjer

Gjennomføringsbrytarane på rutaren er videresendingsinnrømmingar for eit apparat bak dei, ikkje VPN-tenester. Dei registrerer ikkje rutaren som klient, held ikkje på innloggingsinformasjon og pressar ikkje kvart apparat i huset gjennom ein fjernutgang. Det dei gjer, er å forme korleis éin protokoll kryssar adresseomsetjinga og filtera. Når det er klart, er brytaren lett å teste og lett å la vere av.

Kva rutaren faktisk gjer

Rutaren sit mellom ein klient og ein IPsec-peer og videresender pakkar han aldri var laga for å forstå. Produsentane implementerer funksjonen på minst tre måtar: ein protokollhjelpar som følgjer eller skriv om tilstand, eit filterunntak som stoppar å sleppe ESP, eller ein kompatibilitetsmodus retta mot eldre klientar. Etiketten i nettgrensesnittet seier sjeldan kva for ein av dei tre du har. Berre fastvarenattatane eller eit pakkeopptak seier det.

Ein hjelpar kan også gjere tinga verre. Hjelp skriven for ein eldre flyt forstyrrar stundom ein klient som allereie handterer omsetjinga rett. Når ein moderne klient verkar med valet av, er det den betre konfigurasjonen å la det vere av.

Gjennomføring gir aldri rutaren nøklane til peerane. Han ser framleis dei ytre adressene og portane og brukar framleis sin eigen videresendingspolitikk på dei.

NAT og NAT-T avgjer vegen

IPsec vart ikkje bygd for å overleve adresseomsetjing, så standardane la til ein innpakning. NAT-traversering kapslar ESP inn i UDP, slik at ein vanleg NAT-tabell kan bere flyten, og forhandlinga blir samde om den vekslinga under IKE (RFC 3948). IKE sjølv brukar UDP 500, medan den innkapsla vegen vanlegvis brukar UDP 4500.

Derfor er ein brannmurregel som berre tillèt protokoll 50 ikkje nok på ein omsett veg. Blokkering av 4500 øydelegg tilfellet innpakninga finst for, og blokkering av 500 stoppar forhandlinga før nokon tunnel blir danna. Begge retningar tel, fordi ein tilstandsbasert ruter vanlegvis først tillèt svaret etter å ha sett førespurnaden. Å nå ein port er ikkje det same som å fullføre autentisering, og heller ikkje det same som å videresende verna trafikk.

Eldre ordningar er ulike nok til at ein rettleiar skriven for dei kan villede. Når ein klient tilbyr begge modiane, test den peer-en din dokumenterer framfor den med flest søkjeresultat.

Finn trinnet som sviktar

Del problemet i forhandling, autentisering, vern av barnet og indre videresending, og samle deretter prov for eitt trinn om gongen. Ein omstart som mellombels endrar resultatet, provar berre at ein eller annan tilstand var involvert.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Opptaket viser om utvekslinga når peeren og om svar kjem tilbake, noko som skil eit filtreringsproblem frå eit innloggingsproblem. Tilstandslista viser etablerte tryggleiksassosiasjonar, så ei tom liste etter eit forsøk peikar på forhandling og ikkje på ruting. Policylista viser kva selektorar som er installerte, og det er der ein destinasjon utanfor subnettet blir utelaten. Les begge xfrm-utskriftene før du rører rutaren, fordi dei skildrar kva verten trur og ikkje kva rutaren tillèt.

Viss pakkane forlèt og ingenting kjem tilbake, flytt opptaket til WAN-sida av rutaren. Å samanlikne dei to opptaka lokaliserer droppet utan å gisse.

Slå av det du ikkje treng

Éin fungerande berbar PC provar ikkje at rutaren tener fleire klientar samstundes. Kvar klient lagar sin eigen omsetjingstilstand og si eiga forhandling, og nokre hjelparar følgjer berre éin flyt. Test talet på samtidige økter du faktisk treng, frå netverka du faktisk brukar. Viss den andre klienten feilar medan den første trivst, er det funnet og ikkje ein ustabil tunnel.

La valet stå på berre når eit opptak viser at det er naudsynt. Noter fastvareversjonen ved sida av resultatet, fordi denne åtferda endrar seg mellom utgjevingar. Målet er ein klienttunnel du har verifisert, ikkje ein brytar du slo på i håp.