IPsec ESP: ਇਹ ਕੀ ਢੋਂਦਾ ਹੈ ਅਤੇ ਇਹ ਵਹਿ ਰਿਹਾ ਹੈ ਇਹ ਕਿਵੇਂ ਸਿੱਧ ਕਰੀਏ
ESP ਟਨਲ ਮੋਡ ਵਿੱਚ ਅੰਦਰਲਾ IP ਪੈਕੇਟ ਲਪੇਟਦਾ ਹੈ ਅਤੇ SPI ਰਾਹੀਂ ਆਪਣਾ ਐਸੋਸੀਏਸ਼ਨ ਪਛਾਣਦਾ ਹੈ। ਸਥਿਤੀ ਪੜ੍ਹੋ, ਫਿਰ ਦੇਖੋ ਕਿ ਇੱਕ ਪ੍ਰਵਾਹ ਕਾਊਂਟਰ ਕਿਵੇਂ ਹਿਲਾਉਂਦਾ ਹੈ।
ESP IPsec VPN ਵਿੱਚ ਟ੍ਰੈਫਿਕ ਢੋਂਦਾ ਹੈ, ਅਤੇ ਇਸ ਦਾ runbook ਇੱਕ ਨਿਯਮ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ: ਨੀਤੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨ ਪੜ੍ਹੋ। ESP ਦਾ ਬਹੁਤਾ ਅਸਪਸ਼ਟ ਵਿਵਹਾਰ ਉਸ ਸਿਲੈਕਟਰ ਵੱਲ ਮੁੜਦਾ ਹੈ ਜੋ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ ਸੀ, ਉਸ ਮੋਡ ਵੱਲ ਜੋ ਪੜ੍ਹਨ ਦੀ ਥਾਂ ਮੰਨ ਲਿਆ ਗਿਆ ਸੀ, ਜਾਂ ਉਸ ਕਾਊਂਟਰ ਵੱਲ ਜਿਸ ਨੂੰ ਇੱਕ ਪ੍ਰਵਾਹ ਭੇਜੇ ਜਾਂਦੇ ਸਮੇਂ ਕਿਸੇ ਨੇ ਨਹੀਂ ਵੇਖਿਆ। ਹੇਠਾਂ ਦਿੱਤੇ ਤਿੰਨ ਕਦਮ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਕੀ ਕੀ ਢੋਂਦਾ ਹੈ, ਸਿੱਧ ਕਰਦੇ ਹਨ ਕਿ ਇੱਕ ਪ੍ਰਵਾਹ ਇਸ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਅਤੇ ਯਾਦ ’ਤੇ ਨਿਰਭਰ ਨਾ ਕਰਨ ਵਾਲਾ ਵਾਪਸੀ ਛੱਡਦੇ ਹਨ। ਹਰ ਕਦਮ ਇੱਕ ਅਜਿਹੀ ਨਿਗਰਾਨੀ ਦਿੰਦਾ ਹੈ ਜੋ ਲਿਖਣ ਯੋਗ ਹੈ।
ਪੜ੍ਹਨ ਤੋਂ ਪਹਿਲਾਂ ਖੇਤਰ ਜਾਣੋ
ESP ਸੁਰੱਖਿਅਤ ਡੇਟਾ ਦੇ ਅੱਗੇ ਹੈਡਰ ਅਤੇ ਪਿੱਛੇ ਟ੍ਰੇਲਰ ਰੱਖਦਾ ਹੈ। ਹੈਡਰ ਇੱਕ ਸੁਰੱਖਿਆ ਪੈਰਾਮੀਟਰ ਇੰਡੈਕਸ ਢੋਂਦਾ ਹੈ ਜੋ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਪ੍ਰਾਪਤਕਰਤਾ ਕਿਹੜਾ ਐਸੋਸੀਏਸ਼ਨ ਵਰਤੇ, ਦੁਹਰਾਓ ਲੱਭਣ ਲਈ ਕ੍ਰਮ ਨੰਬਰ, ਅਤੇ ਟ੍ਰੇਲਰ ਵਿੱਚ ਪੈਡਿੰਗ ਜੋ ਪੇਲੋਡ ਨੂੰ ਸਾਈਫਰ ਲਈ ਸੰਰੇਖਿਤ ਰੱਖਦੀ ਹੈ। ਟ੍ਰੇਲਰ ਵਿੱਚ ਅਗਲੇ ਹੈਡਰ ਦਾ ਖੇਤਰ ਦੱਸਦਾ ਹੈ ਕਿ ਸੁਰੱਖਿਅਤ ਸਮੱਗਰੀ ਕੀ ਹੈ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਪ੍ਰਾਪਤਕਰਤਾ ਜਾਣਦਾ ਹੈ ਕਿ ਉਸ ਨੇ ਕੀ ਡੀਕੈਪਸੁਲੇਟ ਕੀਤਾ।
ਮੋਡ ਬਦਲਦਾ ਹੈ ਕਿ ਉਸ ਸੁਰੱਖਿਆ ਦੇ ਅੰਦਰ ਕੀ ਬੈਠਦਾ ਹੈ। ਟਨਲ ਮੋਡ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਸਮੱਗਰੀ ਪੂਰਾ ਅੰਦਰਲਾ IP ਪੈਕੇਟ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਨਵਾਂ ਬਾਹਰਲਾ ਹੈਡਰ ਇਸ ਨੂੰ ਦੋ ਸਿਰਿਆਂ ਵਿਚਕਾਰ ਢੋਂਦਾ ਹੈ। ਟ੍ਰਾਂਸਪੋਰਟ ਮੋਡ ਵਿੱਚ ਸੁਰੱਖਿਆ ਮੌਜੂਦਾ ਪੈਕੇਟ ਦੀ ਉੱਪਰਲੀ ਪਰਤ ਦੇ ਪੇਲੋਡ ਨੂੰ ਲਪੇਟਦੀ ਹੈ, ਇਸ ਲਈ ਖੋਲ੍ਹਣ ਲਈ ਦੂਜਾ IP ਹੈਡਰ ਨਹੀਂ ਹੁੰਦਾ। ਕਿਹੜਾ ਮੋਡ ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਹੈ ਇਹ ਕਨਫਿਗਰੇਸ਼ਨ ਦਾ ਤੱਥ ਹੈ, ਵਿਆਖਿਆ ਦਾ ਵਿਸ਼ਾ ਨਹੀਂ। ਇਸ ਨੂੰ ਡਾਇਗ੍ਰਾਮ ਤੋਂ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਥਾਂ ਸਥਿਤੀ ਐਂਟਰੀ ਤੋਂ ਪੜ੍ਹੋ।
ਦੋਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਮੋਡ ਬਾਹਰਲਾ ਪਤਾ ਨਹੀਂ ਲੁਕਾਉਂਦਾ ਜੋ ਪੈਕੇਟ ਨੂੰ ਪਹੁੰਚਾਉਣਾ ਹੈ। ਇਹ ਡਿਜ਼ਾਈਨ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ, ਘਾਟ ਨਹੀਂ, ਅਤੇ ਇਸੇ ਕਰਕੇ ਵਿਚਕਾਰਲਾ ਨਿਰੀਖਕ ਪੇਲੋਡ ਅਸਪਸ਼ਟ ਹੋਣ ’ਤੇ ਵੀ ਵੇਖ ਸਕਦਾ ਹੈ ਕਿ ਕਿਹੜੇ ਦੋ ਪਤੇ ਗੱਲ ਕਰ ਰਹੇ ਹਨ।
ਪਹਿਲਾ ਕਦਮ: ਸਥਿਤੀ ਪੜ੍ਹੋ, ਫਿਰ ਨੀਤੀ
ਸਥਿਤੀ ਐਂਟਰੀਆਂ ਕੁੰਜੀਆਂ ਅਤੇ ਕਾਊਂਟਰ ਰੱਖਦੀਆਂ ਹਨ; ਨੀਤੀ ਐਂਟਰੀਆਂ ਉਹ ਸਿਲੈਕਟਰ ਰੱਖਦੀਆਂ ਹਨ ਜੋ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਕਿਸ ਨੂੰ ਇਨ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਇਜਾਜ਼ਤ ਹੈ। Linux ਵਿੱਚ ਦੋਵੇਂ ਪੈਕੇਟ ਕੈਪਚਰ ਤੋਂ ਬਿਨਾਂ ਦਿਸਦੇ ਹਨ, ਅਤੇ ਉਸ ਕ੍ਰਮ ਵਿੱਚ ਪੜ੍ਹਨ ਨਾਲ ਦੋਵੇਂ ਸਵਾਲ ਵੱਖਰੇ ਰਹਿੰਦੇ ਹਨ।
ip xfrm state
ip xfrm policyਸਥਿਤੀ ਆਉਟਪੁੱਟ ਵਿੱਚ ਐਸੋਸੀਏਸ਼ਨ ਦਾ ਸਰੋਤ ਅਤੇ ਮੰਜ਼ਿਲ, ਮੋਡ, ਅਤੇ ਇਹ ਕਿ ਐਨਕੈਪਸੁਲੇਸ਼ਨ UDP ਪੋਰਟ ਦਿਖਾਉਂਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਜਾਂਚੋ। ਉਹ ਪੋਰਟ ਦੱਸਦੇ ਹਨ ਕਿ NAT ਟ੍ਰਾਵਰਸਲ ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਹੈ, ਜੋ ਬਦਲਦਾ ਹੈ ਕਿ ਵਿਚਕਾਰਲੇ ਫਾਇਰਵਾਲ ਨੂੰ ਕੀ ਮਨਜ਼ੂਰ ਕਰਨਾ ਹੈ, ਪਰ ਇਹ ਨਹੀਂ ਕਿ ਸਿਰਿਆਂ ’ਤੇ ਕਿਹੜੇ ਸਿਲੈਕਟਰ ਜਾਂ ਕੁੰਜੀਆਂ ਲਾਗੂ ਹੁੰਦੀਆਂ ਹਨ।
ਫਿਰ ਨੀਤੀ ਦੇ ਸਿਲੈਕਟਰ ਪੜ੍ਹੋ। ਜੋ ਸਿਲੈਕਟਰ ਤੁਹਾਡੇ ਟੈਸਟ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਨਾਲੋਂ ਸੰਕਰਾ ਪ੍ਰੀਫਿਕਸ ਦੱਸਦਾ ਹੈ, ਉਹੀ ਸਭ ਤੋਂ ਆਮ ਕਾਰਨ ਹੈ ਕਿ ਕੰਮ ਕਰਦਾ ਟਨਲ ਕਿਸੇ ਪ੍ਰਵਾਹ ਨੂੰ ਅਣਡਿੱਠ ਕਰਦਾ ਦਿਸਦਾ ਹੈ, ਅਤੇ ਗਲਤ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸਿਲੈਕਟਰ ਉਹੀ ਚੁੱਪੀ ਦਿੰਦਾ ਹੈ।
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
ਵਿਕਰੇਤਾ ਦੇ ਸੰਦ ਉਹੀ ਜਾਣਕਾਰੀ ਵਧੇਰੇ ਸੁਵਿਧਾਜਨਕ ਰੂਪ ਵਿੱਚ ਛਾਪਦੇ ਹਨ। ipsec statusall strongSwan ’ਤੇ ਇਹ ਚਾਈਲਡ ਐਸੋਸੀਏਸ਼ਨ, ਉਨ੍ਹਾਂ ਦੇ ਸਿਲੈਕਟਰ ਅਤੇ ਬਾਈਟ ਕਾਊਂਟਰ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਕਿਹੜੀ ਚਾਈਲਡ ਵੇਖਣੀ ਹੈ ਇਹ ਪਹਿਲਾਂ ਹੀ ਪਤਾ ਹੋਣ ’ਤੇ ਕੱਚਾ xfrm ਆਉਟਪੁੱਟ ਪੜ੍ਹਨ ਨਾਲੋਂ ਅਕਸਰ ਤੇਜ਼ ਹੁੰਦਾ ਹੈ।
ਦੂਜਾ ਕਦਮ: ਸਿੱਧ ਕਰੋ ਕਿ ਇੱਕ ਪ੍ਰਵਾਹ ਕਾਊਂਟਰ ਹਿਲਾਉਂਦਾ ਹੈ
ਕਾਊਂਟਰ ਤਾਂ ਹੀ ਅਰਥ ਰੱਖਦੇ ਹਨ ਜੇ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿ ਉਨ੍ਹਾਂ ਨੂੰ ਕੀ ਹਿਲਾਉਣਾ ਚਾਹੀਦਾ ਸੀ, ਇਸ ਲਈ ਉਹ ਸਰੋਤ ਅਤੇ ਮੰਜ਼ਿਲ ਚੁਣੋ ਜਿਸ ਨੂੰ ਸਿਲੈਕਟਰ ਪੱਕਾ ਢਕਦਾ ਹੈ ਅਤੇ ਇੱਕ ਬੇਨੁਕਸਾਨ ਬੇਨਤੀ ਭੇਜੋ। ਫਿਰ ਉਹੀ ਐਂਟਰੀ ਦੁਬਾਰਾ ਪੜ੍ਹੋ ਅਤੇ ਤੁਲਨਾ ਕਰੋ।
ip -s xfrm state
tcpdump -ni any espਦੋ ਪੜ੍ਹਾਈ ਵੱਖਰੀਆਂ ਕਹਾਣੀਆਂ ਕਹਿੰਦੀਆਂ ਹਨ। ਜੋ ਪੈਕੇਟ ਬਾਹਰਲੇ ਪਾਸੇ ਵਧਦੇ ਹਨ ਪਰ ਅੰਦਰਲੇ ਪਾਸੇ ਕਦੇ ਨਹੀਂ, ਉਹ ਕੁੰਜੀ ਦੀ ਸਮੱਸਿਆ ਦੀ ਥਾਂ ਫਾਰਵਰਡਿੰਗ ਜਾਂ ਵਾਪਸੀ ਮਾਰਗ ਦੀ ਸਮੱਸਿਆ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ, ਕਿਉਂਕਿ ਪੈਕੇਟ ਐਨਕੈਪਸੁਲੇਟ ਹੋ ਕੇ ਚਲਾ ਗਿਆ। ਜੇ ਕੋਈ ਕਾਊਂਟਰ ਨਾ ਹਿੱਲੇ ਤਾਂ ਟ੍ਰੈਫਿਕ ਨੀਤੀ ਨਾਲ ਕਦੇ ਨਹੀਂ ਮਿਲਿਆ, ਅਤੇ ਸਿਲੈਕਟਰ ਹੀ ਵੇਖਣ ਦੀ ਥਾਂ ਹੈ।
ਉਸੇ ਕਦਮ ਦਾ ਕੈਪਚਰ ਤਾਰ ’ਤੇ ਐਨਕੈਪਸੁਲੇਸ਼ਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਇਹ ਵੀ ਸ਼ਾਮਲ ਹੈ ਕਿ ਬਾਹਰਲੇ ਪੈਕੇਟ ESP ਹਨ ਜਾਂ UDP-ਐਨਕੈਪਸੁਲੇਟਡ ESP। ਇਹ ਤੁਹਾਨੂੰ ਉਹ ਪਤੇ ਵੀ ਦਿਖਾਉਂਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੇ ਪ੍ਰਵਾਹ ਸੱਚਮੁੱਚ ਢੋਇਆ, ਅਤੇ ਉਹ ਕਦੇ-ਕਦੇ ਤੁਸੀਂ ਪੜ੍ਹ ਰਹੇ ਕਨਫਿਗਰੇਸ਼ਨ ਵਾਲਿਆਂ ਨਾਲੋਂ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ।
ਤੀਜਾ ਕਦਮ: ਇੱਕ ਚੀਜ਼ ਬਦਲੋ ਅਤੇ ਵਾਪਸੀ ਰੱਖੋ
ਕੁਝ ਵੀ ਸੰਪਾਦਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਐਸੋਸੀਏਸ਼ਨ ਦਾ ਸਰੋਤ, ਮੰਜ਼ਿਲ, ਮੋਡ, ਸਿਲੈਕਟਰ ਅਤੇ ਕਾਊਂਟਰ ਦਰਜ ਕਰੋ। ਜੇ ਕੋਈ ਬਦਲਾਅ ਹਾਲਤ ਵਿਗਾੜਦਾ ਹੈ, ਤਾਂ ਉਹੀ ਰਿਕਾਰਡ ਤੁਹਾਨੂੰ ਪਿਛਲੀ ਸਥਿਤੀ ਬਹਾਲ ਕਰਨ ਦਿੰਦਾ ਹੈ, ਅੰਦਾਜ਼ੇ ਤੋਂ ਚੱਲਦੀ ਕਨਫਿਗਰੇਸ਼ਨ ਦੁਬਾਰਾ ਬਣਾਉਣ ਦੀ ਥਾਂ। ਉਹ ਰਿਕਾਰਡ ਲਿਖਣ ਵਿੱਚ ਇੱਕ ਮਿੰਟ ਲੈਂਦਾ ਹੈ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਇੱਕ ਘੰਟਾ ਬਚਾਉਂਦਾ ਹੈ। ਇਹ ਉਹੀ ਇੱਕੋ ਨਿਸ਼ਾਨ ਹੈ ਜੋ ਬਦਲਾਅ ਕਰਨ ਵਾਲੇ ਵਿਅਕਤੀ ਤੋਂ ਬਾਅਦ ਬਚਦਾ ਹੈ।
ਇੱਕ ਸਿਲੈਕਟਰ ਜਾਂ ਇੱਕ ਪੈਰਾਮੀਟਰ ਬਦਲੋ, ਇਸ ਨੂੰ ਦੁਬਾਰਾ ਲੋਡ ਕਰੋ, ਅਤੇ ਉਸੇ ਪ੍ਰਵਾਹ ’ਤੇ ਦੂਜਾ ਕਦਮ ਦੁਹਰਾਓ। ਐਸੋਸੀਏਸ਼ਨ ਮਿਟਾਉਣ ਨਾਲ ਇਸ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲਾ ਹਰ ਪ੍ਰਵਾਹ ਟੁੱਟ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਨਿਸ਼ਾਨਾ ਸੰਪਾਦਨ ਅਤੇ ਚਾਈਲਡ ਦੁਬਾਰਾ ਲੋਡ ਕਰਨਾ ਕੀ ਹੁੰਦਾ ਹੈ ਇਹ ਵੇਖਣ ਲਈ ਸਥਿਤੀ ਖਾਲੀ ਕਰਨ ਨਾਲੋਂ ਲਗਭਗ ਹਮੇਸ਼ਾ ਬਿਹਤਰ ਹੈ।
ਸਿਲੈਕਟਰ ਸੰਪਾਦਨ ਦੀ ਵਾਪਸੀ ਦਾ ਮਤਲਬ ਪਿਛਲੀ ਨੀਤੀ ਬਹਾਲ ਕਰਕੇ ਦੁਬਾਰਾ ਲੋਡ ਕਰਨਾ ਹੈ, ਇਸ ਸ਼ਰਤ ਨਾਲ ਕਿ ਜੇ ਸਿਲੈਕਟਰ ਸਥਾਨਕ ਨਹੀਂ ਬਲਕਿ ਗੱਲਬਾਤ ਰਾਹੀਂ ਤੈਅ ਹੁੰਦਾ ਹੈ ਤਾਂ ਸਾਹਮਣੇ ਵਾਲੇ ਪਾਸੇ ਨੂੰ ਮੇਲ ਖਾਂਦਾ ਬਦਲਾਅ ਚਾਹੀਦਾ ਹੋ ਸਕਦਾ ਹੈ। ਉਸ ਨਿਰਭਰਤਾ ਨੂੰ ਤਾਜ਼ਾ ਰਹਿੰਦਿਆਂ ਲਿਖੋ, ਕਿਉਂਕਿ ਅੱਧਾ ਬਹਾਲ ਜੋੜਾ ਦੋਵਾਂ ਅੰਤਿਮ ਸਥਿਤੀਆਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨਾਲੋਂ ਵੀ ਸੋਚਣਾ ਔਖਾ ਹੈ।
ਅੰਤ ਵਿੱਚ, ਦਾਇਰਾ ਇਮਾਨਦਾਰ ਰੱਖੋ। ਵਹਿੰਦਾ ESP ਐਸੋਸੀਏਸ਼ਨ ਸਿੱਧ ਕਰਦਾ ਹੈ ਕਿ ਦੋ ਗੇਟਵੇ ਖੰਡ ਦੀ ਰੱਖਿਆ ਕਰਕੇ ਇਸ ਨੂੰ ਪਹੁੰਚਾ ਰਹੇ ਹਨ, ਅਤੇ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਉੱਪਰਲੀ ਐਪਲੀਕੇਸ਼ਨ ਆਪਣੇ ਵਰਤੋਂਕਾਰਾਂ ਦੀ ਪਛਾਣ ਕਰਦੀ ਹੈ ਜਾਂ ਸੰਗ੍ਰਹਿ ਕੀਤੀ ਚੀਜ਼ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦੀ ਹੈ। ਇਹ ਵੱਖਰੇ ਸਬੂਤਾਂ ਵਾਲੇ ਵੱਖਰੇ ਨਿਯੰਤਰਣ ਹਨ, ਅਤੇ runbook ਤਾਂ ਹੀ ਪੂਰਾ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਅਗਲਾ ਵਿਅਕਤੀ ਨੋਟਾਂ ਤੋਂ ਇਸ ਨੂੰ ਦੁਹਰਾ ਸਕੇ।