IPsec ESP: څه انتقالوي او څنګه ثابت کړو چې بهېږي
ESP په تونل حالت کې داخلي IP پاکټ پوښي او خپله ټولنه د SPI له لارې پېژني. حالت ولولئ، بیا وګورئ چې یو بهیر څنګه کاونټرونه خوځوي.
ESP په IPsec VPN کې ترافیک انتقالوي، او د هغې runbook د یوې قاعدې سره پیلېږي: د پالیسۍ له بدلولو مخکې امنیتي ټولنه ولولئ۔ د ESP ډېری ناڅرګنده چلند هغه ټاکونکي ته ورتېرېږي چې سمون نه درلود، هغه حالت ته چې د لوستلو پر ځای فرض شو، یا هغه کاونټر ته چې هیچا ونه کتلو کله چې یو بهیر لېږل کېده۔ لاندې درې ګامه ټاکي چې څه څه انتقالوي، ثابتوي چې یو بهیر یې کاروي، او یو داسې بیرته ګرځېدل پرېږدي چې پر یاد پورې تړلی نه وي۔ هر ګام یوه کتنه وړاندې کوي چې د لیکلو وړ ده۔
مخکې له لوستلو ساحې وپېژنئ
ESP د ساتل شویو معلوماتو مخې ته سرلیک او شاته لکۍ ږدي۔ سرلیک د امنیت د پارامېترونو شاخص لېږدوي چې ټاکي اخیستونکی کومه ټولنه وکاروي، د تکرار پېژندنې لپاره د ترتیب شمېره، او په لکۍ کې ډکول چې بار د شفر لپاره سم وي۔ په لکۍ کې د بل سرلیک ساحه وایي چې ساتل شوې منځپانګه څه ده، او په دې توګه اخیستونکی پوهېږي چې څه یې له کپسولې ایستلي۔
حالت بدلوي چې د هغې ساتنې په دننه کې څه وي۔ په تونل حالت کې ساتل شوی توکی بشپړ داخلي IP پاکټ دی، او نوی بهرنی سرلیک هغه د دوو سرونو ترمنځ لېږدوي۔ په ترانسپورت حالت کې ساتنه د موجود پاکټ د پورتنۍ طبقې بار پوښي، نو د پرانیستلو لپاره دویم IP سرلیک نشته۔ کوم حالت کارول کېږي دا د ترتیباتو حقیقت دی، نه د تفسیر مسئله۔ دا له سکیچ اټکل کولو پر ځای د حالت له ننوتې ولولئ۔
هیڅ یو حالت هغه بهرنی پته نه پټوي چې پاکټ باید ورسوي۔ دا د ډیزاین ځانګړنه ده، نه کمزوري، او له همدې کبله منځنی کتونکی لاهم ویني چې کوم دوه پتې خبرې کوي، حتی کله چې بار ناڅرګنده وي۔
لومړی ګام: حالت ولولئ، بیا پالیسي
د حالت ننوتې کیلي او کاونټرونه ساتي؛ د پالیسۍ ننوتې هغه ټاکونکي ساتي چې ټاکي چا ته د هغوی کارول اجازه ده۔ په Linux کې دواړه پرته له پاکټ نیولو ښکاري، او په دې ترتیب لوستل دوه پوښتنې جلا ساتي۔
ip xfrm state
ip xfrm policyپه حالت د وتلو برخه کې د ټولنې سرچینه او منزل، حالت، او دا چې کپسولې کول UDP پورټونه ښيي که نه، وګورئ۔ هغه پورټونه مانا دا ده چې د NAT تېرېدل کارول کېږي, چې بدلوي چې منځنی فایر وال باید څه اجازه کړي، خو نه دا چې په سرونو کې کوم ټاکونکي یا کیلي پلي کېږي۔
بیا په پالیسۍ کې ټاکونکي ولولئ۔ هغه ټاکونکی چې ستاسو د ازموینې له ترافیک څخه نری مخفف نوموي، هغه ترټولو عام لامل دی چې کار کوونکی تونل د یو بهیر له پامه غورځولو په څېر ښکاري، او د ناسم پروتوکول ټاکونکی هماغه غلې پټه ورکوي۔
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
د پلورونکو وسایل هماغه معلومات په ډېر اسانه بڼه چاپوي۔ ipsec statusall په strongSwan کې هغه ماشوم ټولنې، د هغوی ټاکونکي او د بایټ کاونټرونه لیستوي، چې کله پخوا پوهېږئ کوم ماشوم ته ګورئ، ډېری وخت له خام xfrm وتلو لوستلو څخه ګړندی دی۔
دویم ګام: ثابت کړئ چې یو بهیر کاونټرونه خوځوي
کاونټرونه یوازې هغه وخت معنا لري چې پوه شئ چې دوی باید څه خوځولي وای، نو هغه سرچینه او منزل وټاکئ چې ټاکونکی یې یقیناً پوښي او یوه بې ضرره غوښتنه ولېږئ۔ بیا هماغه ننوته بیا ولولئ او پرتله یې کړئ۔
ip -s xfrm state
tcpdump -ni any espدوه لوستنې بېلې کیسې کوي۔ هغه پاکټونه چې د وتلو په خوا کې زیاتېږي خو د ننوتلو په خوا کې هېڅکله نه، د کیلي پر ستونزه نه بلکې د لېږد یا د بېرته راتلو پر لارې ستونزه اشاره کوي، ځکه پاکټ کپسول شو او ولاړ۔ که هیڅ کاونټر ونه خوځېده، ترافیک هېڅکله له پالیسۍ سره سمون نه درلود, او ټاکونکی هغه ځای دی چې باید وګورئ۔
په هماغه ګام کې نیول د تار پر کپسولې کولو تصدیق کوي، په دې کې چې بهرني پاکټونه ESP دي که په UDP کې کپسول شوي ESP۔ دا تاسو ته هغه پتې هم ښيي چې بهیر یې واقعاً لېږدولی، او هغه کله ناکله ستاسو له لوستل شوي ترتیبه توپیر لري۔
درېیم ګام: یو شی بدل کړئ او بیرته ګرځېدل وساتئ
له هر څه د سمون مخکې د ټولنې سرچینه، منزل، حالت، ټاکونکي او کاونټرونه ولیکئ۔ که یو بدلون وضعیت خراب کړي، هماغه ریکارډ تاسو ته اجازه درکوي چې پخوانی حالت بیرته راولي، نه دا چې له اټکل څخه کار کوونکی ترتیب بیا جوړ کړئ۔ هغه ریکارډ لیکلو لپاره یوه دقیقه نیسي او وروسته یوه ساعت ژغوري۔ دا یوازینی اثر هم دی چې د بدلون کوونکي کس وروسته پاتې کېږي۔
یو ټاکونکی یا یو پارامېتر بدل کړئ، بیا یې بار کړئ، او په هماغه بهیر دویم ګام تکرار کړئ۔ د ټولنې ړنګول هره هغه بهیر ماتوي چې کاروي یې، نو هدفمن سمون او د ماشوم بیا بارول نږدې تل له دې څخه غوره دي چې حالت تش کړئ څو وګورئ څه پېښېږي۔
د ټاکونکي د سمون بیرته ګرځېدل پخوانۍ پالیسي بیرته راوستل او بیا بارول دي، په دې شرط چې سیال ممکن ورته بدلون ته اړ وي که ټاکونکی خبرې اترې کېږي نه چې سیمه ییز وي۔ هغه تړاو ولیکئ تر څو چې تازه دی، ځکه نیمګړی بیرته راوستل شوی جوړه د دوو پای حالتونو له هر یوه څخه فکر کول ستونزمن دي۔
په پای کې، دایره صادق وساتئ۔ بهېدونکې ESP ټولنه ثابتوي چې دوه دروازې برخه ساتي او رسوي، او هغه هېڅ نه وایي چې پورتنۍ اپلیکیشن خپل کاروونکي تصدیق کوي که هغه څه چې ساتي یې کوډ کوي۔ دا جلا کنټرولونه دي له جلا شاهدو سره، او runbook یوازې هغه وخت بشپړ دی چې بل کس یې له یادښتونو تکرار کړي۔