ਘਰੇਲੂ ਰਾਊਟਰ ’ਤੇ IPsec ਪਾਸ-ਥਰੂ: ਇਹ ਅਸਲ ਵਿੱਚ ਕੀ ਕਰਦਾ ਹੈ

ਰਾਊਟਰ ਦੇ ਪਾਸ-ਥਰੂ ਸਵਿੱਚ ਉਹਨਾਂ ਪਿੱਛੇ ਲੱਗੇ ਡਿਵਾਈਸ ਲਈ ਫਾਰਵਰਡਿੰਗ ਰਿਆਇਤਾਂ ਹਨ, VPN ਸੇਵਾਵਾਂ ਨਹੀਂ। ਇਹ ਰਾਊਟਰ ਨੂੰ ਕਲਾਇੰਟ ਵਜੋਂ ਦਰਜ ਨਹੀਂ ਕਰਦੇ, ਪ੍ਰਮਾਣ-ਪੱਤਰ ਨਹੀਂ ਰੱਖਦੇ ਅਤੇ ਘਰ ਦੇ ਹਰ ਯੰਤਰ ਨੂੰ ਦੂਰ ਦੇ ਨਿਕਾਸ ਰਾਹੀਂ ਨਹੀਂ ਭੇਜਦੇ। ਇਹ ਜੋ ਕਰਦੇ ਹਨ ਉਹ ਇਹ ਹੈ ਕਿ ਇੱਕ ਪ੍ਰੋਟੋਕੋਲ ਪਤਾ ਅਨੁਵਾਦ ਅਤੇ ਫਿਲਟਰਾਂ ਨੂੰ ਕਿਵੇਂ ਪਾਰ ਕਰਦਾ ਹੈ, ਇਸ ਨੂੰ ਆਕਾਰ ਦਿੰਦੇ ਹਨ। ਇਹ ਸਪੱਸ਼ਟ ਹੋਣ ’ਤੇ ਸਵਿੱਚ ਦੀ ਜਾਂਚ ਕਰਨੀ ਸੌਖੀ ਅਤੇ ਇਸ ਨੂੰ ਬੰਦ ਰੱਖਣਾ ਵੀ ਸੌਖਾ ਹੋ ਜਾਂਦਾ ਹੈ।

ਰਾਊਟਰ ਅਸਲ ਵਿੱਚ ਕੀ ਕਰ ਰਿਹਾ ਹੈ

ਰਾਊਟਰ ਇੱਕ ਕਲਾਇੰਟ ਅਤੇ ਇੱਕ IPsec ਸਾਥੀ ਵਿਚਕਾਰ ਬੈਠਦਾ ਹੈ ਅਤੇ ਉਹ ਪੈਕਟ ਫਾਰਵਰਡ ਕਰਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਸਮਝਣ ਲਈ ਇਹ ਕਦੇ ਨਹੀਂ ਬਣਾਇਆ ਗਿਆ ਸੀ। ਨਿਰਮਾਤਾ ਇਸ ਸੁਵਿਧਾ ਨੂੰ ਘੱਟੋ-ਘੱਟ ਤਿੰਨ ਤਰੀਕਿਆਂ ਨਾਲ ਲਾਗੂ ਕਰਦੇ ਹਨ: ਸਥਿਤੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਜਾਂ ਮੁੜ ਲਿਖਣ ਵਾਲਾ ਪ੍ਰੋਟੋਕੋਲ ਸਹਾਇਕ, ESP ਸੁੱਟਣਾ ਰੋਕਣ ਵਾਲਾ ਫਿਲਟਰ ਅਪਵਾਦ, ਜਾਂ ਪੁਰਾਣੇ ਕਲਾਇੰਟ ਲਈ ਅਨੁਕੂਲਤਾ ਮੋਡ। ਵੈੱਬ ਇੰਟਰਫੇਸ ਦਾ ਲੇਬਲ ਘੱਟ ਹੀ ਦੱਸਦਾ ਹੈ ਕਿ ਤੁਹਾਡੇ ਕੋਲ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜਾ ਹੈ। ਸਿਰਫ਼ ਫਰਮਵੇਅਰ ਨੋਟ ਜਾਂ ਪੈਕਟ ਕੈਪਚਰ ਹੀ ਇਹ ਦੱਸਣਗੇ।

ਸਹਾਇਕ ਚੀਜ਼ਾਂ ਨੂੰ ਹੋਰ ਖਰਾਬ ਵੀ ਕਰ ਸਕਦਾ ਹੈ। ਪੁਰਾਣੇ ਵਹਾਅ ਲਈ ਲਿਖੀ ਮਦਦ ਕਦੇ-ਕਦੇ ਉਸ ਕਲਾਇੰਟ ਵਿੱਚ ਰੁਕਾਵਟ ਪਾਉਂਦੀ ਹੈ ਜੋ ਅਨੁਵਾਦ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਸਹੀ ਢੰਗ ਨਾਲ ਸੰਭਾਲਦਾ ਹੈ। ਜਦੋਂ ਆਧੁਨਿਕ ਕਲਾਇੰਟ ਵਿਕਲਪ ਬੰਦ ਰੱਖ ਕੇ ਕੰਮ ਕਰਦਾ ਹੈ, ਤਾਂ ਇਸ ਨੂੰ ਬੰਦ ਰੱਖਣਾ ਬਿਹਤਰ ਸੰਰਚਨਾ ਹੈ।

ਪਾਸ-ਥਰੂ ਕਦੇ ਵੀ ਰਾਊਟਰ ਨੂੰ ਸਾਥੀਆਂ ਦੀਆਂ ਚਾਬੀਆਂ ਨਹੀਂ ਦਿੰਦਾ। ਇਹ ਅਜੇ ਵੀ ਬਾਹਰੀ ਪਤੇ ਅਤੇ ਪੋਰਟ ਦੇਖਦਾ ਹੈ, ਅਤੇ ਅਜੇ ਵੀ ਉਹਨਾਂ ’ਤੇ ਆਪਣੀ ਫਾਰਵਰਡਿੰਗ ਨੀਤੀ ਲਾਗੂ ਕਰਦਾ ਹੈ।

NAT ਅਤੇ NAT-T ਮਾਰਗ ਤੈਅ ਕਰਦੇ ਹਨ

IPsec ਪਤਾ ਅਨੁਵਾਦ ਤੋਂ ਬਚਣ ਲਈ ਨਹੀਂ ਬਣਾਇਆ ਗਿਆ ਸੀ, ਇਸ ਲਈ ਮਿਆਰਾਂ ਨੇ ਇੱਕ ਆਵਰਣ ਜੋੜਿਆ। NAT ਟ੍ਰਾਵਰਸਲ ESP ਨੂੰ UDP ਦੇ ਅੰਦਰ ਸਮੇਟਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਆਮ NAT ਸਾਰਣੀ ਵਹਾਅ ਢੋ ਸਕਦੀ ਹੈ, ਅਤੇ ਗੱਲਬਾਤ IKE ਦੌਰਾਨ ਉਸ ਬਦਲਾਅ ’ਤੇ ਸਹਿਮਤ ਹੁੰਦੀ ਹੈ (RFC 3948)। IKE ਆਪ UDP 500 ਵਰਤਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਆਵਰਿਤ ਮਾਰਗ ਆਮ ਤੌਰ ’ਤੇ UDP 4500 ਵਰਤਦਾ ਹੈ।

ਇਸ ਲਈ ਸਿਰਫ਼ ਪ੍ਰੋਟੋਕੋਲ 50 ਦੀ ਆਗਿਆ ਦੇਣ ਵਾਲਾ ਫਾਇਰਵਾਲ ਨਿਯਮ ਅਨੁਵਾਦਿਤ ਮਾਰਗ ’ਤੇ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ। 4500 ਨੂੰ ਰੋਕਣਾ ਉਸ ਸਥਿਤੀ ਨੂੰ ਤੋੜਦਾ ਹੈ ਜਿਸ ਲਈ ਆਵਰਣ ਮੌਜੂਦ ਹੈ, ਅਤੇ 500 ਨੂੰ ਰੋਕਣਾ ਕੋਈ ਵੀ ਸੁਰੰਗ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਗੱਲਬਾਤ ਰੋਕ ਦਿੰਦਾ ਹੈ। ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਮਹੱਤਵਪੂਰਨ ਹਨ, ਕਿਉਂਕਿ ਸਥਿਤੀ-ਸੁਚੇਤ ਰਾਊਟਰ ਆਮ ਤੌਰ ’ਤੇ ਬੇਨਤੀ ਦੇਖਣ ਤੋਂ ਬਾਅਦ ਹੀ ਜਵਾਬ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਪੋਰਟ ਤੱਕ ਪਹੁੰਚਣਾ ਪ੍ਰਮਾਣਿਕਤਾ ਪੂਰੀ ਕਰਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ, ਅਤੇ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਫਾਰਵਰਡ ਕਰਨ ਦੇ ਬਰਾਬਰ ਵੀ ਨਹੀਂ ਹੈ।

ਪੁਰਾਣੀਆਂ ਵਿਵਸਥਾਵਾਂ ਕਾਫ਼ੀ ਵੱਖਰੀਆਂ ਹਨ ਕਿ ਉਹਨਾਂ ਲਈ ਲਿਖੀ ਗਾਈਡ ਗੁੰਮਰਾਹ ਕਰ ਸਕਦੀ ਹੈ। ਜਦੋਂ ਕਲਾਇੰਟ ਦੋਵੇਂ ਮੋਡ ਪੇਸ਼ ਕਰਦਾ ਹੈ, ਤਾਂ ਵਧੇਰੇ ਖੋਜ ਨਤੀਜਿਆਂ ਵਾਲੇ ਦੀ ਨਹੀਂ, ਸਗੋਂ ਤੁਹਾਡੇ ਸਾਥੀ ਵੱਲੋਂ ਦਸਤਾਵੇਜ਼ ਕੀਤੇ ਦੀ ਜਾਂਚ ਕਰੋ।

ਫੇਲ੍ਹ ਹੁੰਦਾ ਪੜਾਅ ਲੱਭੋ

ਸਮੱਸਿਆ ਨੂੰ ਗੱਲਬਾਤ, ਪ੍ਰਮਾਣਿਕਤਾ, ਸੰਤਾਨ ਸੁਰੱਖਿਆ ਅਤੇ ਅੰਦਰੂਨੀ ਫਾਰਵਰਡਿੰਗ ਵਿੱਚ ਵੰਡੋ, ਫਿਰ ਇੱਕ ਸਮੇਂ ਇੱਕ ਪੜਾਅ ਲਈ ਸਬੂਤ ਇਕੱਠੇ ਕਰੋ। ਨਤੀਜਾ ਅਸਥਾਈ ਤੌਰ ’ਤੇ ਬਦਲਣ ਵਾਲਾ ਰੀਬੂਟ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਕੋਈ ਸਥਿਤੀ ਸ਼ਾਮਲ ਸੀ।

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

ਕੈਪਚਰ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਸਾਥੀ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਜਾਂ ਨਹੀਂ ਅਤੇ ਜਵਾਬ ਵਾਪਸ ਆਉਂਦੇ ਹਨ ਜਾਂ ਨਹੀਂ, ਜੋ ਫਿਲਟਰ ਸਮੱਸਿਆ ਨੂੰ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਸਮੱਸਿਆ ਤੋਂ ਵੱਖਰਾ ਕਰਦਾ ਹੈ। ਸਥਿਤੀ ਸੂਚੀ ਸਥਾਪਿਤ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਦਿਖਾਉਂਦੀ ਹੈ, ਇਸ ਲਈ ਕੋਸ਼ਿਸ਼ ਤੋਂ ਬਾਅਦ ਦੀ ਖਾਲੀ ਸੂਚੀ ਰਾਊਟਿੰਗ ਦੀ ਬਜਾਏ ਗੱਲਬਾਤ ਵੱਲ ਸੰਕੇਤ ਕਰਦੀ ਹੈ। ਨੀਤੀ ਸੂਚੀ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਕਿਹੜੇ ਚੋਣਕਾਰ ਸਥਾਪਿਤ ਹਨ, ਅਤੇ ਉੱਥੇ ਹੀ ਸਬਨੈੱਟ ਤੋਂ ਬਾਹਰ ਦਾ ਟਿਕਾਣਾ ਬਾਹਰ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ। ਰਾਊਟਰ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ xfrm ਦੇ ਦੋਵੇਂ ਆਉਟਪੁੱਟ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਉਹ ਰਾਊਟਰ ਕੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਇਹ ਨਹੀਂ, ਹੋਸਟ ਕੀ ਮੰਨਦਾ ਹੈ ਇਹ ਦੱਸਦੇ ਹਨ।

ਜੇ ਪੈਕਟ ਬਾਹਰ ਜਾਂਦੇ ਹਨ ਅਤੇ ਕੁਝ ਵਾਪਸ ਨਹੀਂ ਆਉਂਦਾ, ਤਾਂ ਕੈਪਚਰ ਨੂੰ ਰਾਊਟਰ ਦੇ WAN ਪਾਸੇ ਲੈ ਜਾਓ। ਦੋਵੇਂ ਕੈਪਚਰਾਂ ਦੀ ਤੁਲਨਾ ਅੰਦਾਜ਼ਾ ਲਗਾਏ ਬਿਨਾਂ ਸੁੱਟੇ ਜਾਣ ਦੀ ਥਾਂ ਪਛਾਣ ਲੈਂਦੀ ਹੈ।

ਜਿਸ ਦੀ ਲੋੜ ਨਹੀਂ ਉਹ ਬੰਦ ਕਰੋ

ਇੱਕ ਚੱਲਦਾ ਲੈਪਟਾਪ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਰਾਊਟਰ ਇੱਕੋ ਸਮੇਂ ਕਈ ਕਲਾਇੰਟ ਸੰਭਾਲਦਾ ਹੈ। ਹਰ ਕਲਾਇੰਟ ਆਪਣੀ ਅਨੁਵਾਦ ਸਥਿਤੀ ਅਤੇ ਆਪਣੀ ਗੱਲਬਾਤ ਬਣਾਉਂਦਾ ਹੈ, ਅਤੇ ਕੁਝ ਸਹਾਇਕ ਸਿਰਫ਼ ਇੱਕ ਵਹਾਅ ਦਾ ਪਤਾ ਲਗਾਉਂਦੇ ਹਨ। ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਜਿੰਨੇ ਇੱਕੋ ਸਮੇਂ ਸੈਸ਼ਨ ਚਾਹੀਦੇ ਹਨ, ਉਹਨਾਂ ਦੀ ਜਾਂਚ ਉਹਨਾਂ ਨੈੱਟਵਰਕਾਂ ਤੋਂ ਕਰੋ ਜੋ ਤੁਸੀਂ ਅਸਲ ਵਿੱਚ ਵਰਤਦੇ ਹੋ। ਜੇ ਪਹਿਲਾ ਕਲਾਇੰਟ ਵਧੀਆ ਚੱਲਦਾ ਹੈ ਅਤੇ ਦੂਜਾ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਇਹੀ ਖੋਜ ਹੈ, ਕੋਈ ਅਸਥਿਰ ਸੁਰੰਗ ਨਹੀਂ।

ਕੈਪਚਰ ਲੋੜੀਂਦਾ ਦਿਖਾਉਣ ’ਤੇ ਹੀ ਵਿਕਲਪ ਚਾਲੂ ਰੱਖੋ। ਨਤੀਜੇ ਦੇ ਕੋਲ ਫਰਮਵੇਅਰ ਸੰਸਕਰਣ ਲਿਖੋ, ਕਿਉਂਕਿ ਇਹ ਵਿਵਹਾਰ ਸੰਸਕਰਣਾਂ ਵਿਚਕਾਰ ਬਦਲਦੇ ਹਨ। ਟੀਚਾ ਤੁਹਾਡੇ ਵੱਲੋਂ ਪਰਖੀ ਕਲਾਇੰਟ ਸੁਰੰਗ ਹੈ, ਆਸ ਨਾਲ ਚਾਲੂ ਕੀਤਾ ਸਵਿੱਚ ਨਹੀਂ।