IPsec په IPsec کې: بهرنی تونل باید کوم پتې ولېږدوي

نریکره IPsec هغه وخت اسانه د پوهېدو دی چې دوه پوړونه په بېلو ماشینونو پای ومومي. څلور ګیټوې، دوه تونلونه او یوه پوښتنه چې ټاکي ډیزاین کار کوي که نه: بهرنی تونل هغه وخت چې داخلي له پاکټ سره پای ته ورسېد، په رښتیا څه ویني؟ دې ته ځواب ورکړئ، نو ټاکونکي، لارې او د ستونزو حل ترتیب به هم راشي. که غلطي وکړئ، به یوه ورځ د هغه تونل په ډیبګ کې تېره کړئ چې تخنیکي توګه پورته دی.

د څلورو ګیټویو ماډل

بهرنۍ ګیټوې A او B د دوو سایټونو ترمنځ لومړی تونل جوړوي. د A شاته داخلي ګیټوه C د تګ راتګ پتې 10.60.0.2 سره، او د B شاته داخلي ګیټوه D د تګ راتګ پتې 10.70.0.2 سره ده. د اپلیکیشن شبکې د C او D شاته ژوند کوي، او په بېلګه کې هره پته په قصد سره یو له بل سره نه یوځای کېږي.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

د پوړونو وېش پر څلورو کوربه وو معنی دا ده چې هره ماشین یوه پوله پلي کوي. یو کوربه چې دواړه پوړونه چلوي باید په یوه ماشین کې دوه ټولګې تګلارې، دوه د لارې جدولونه او دوه د ناکامۍ حالتونه سره یوځای کړي، چې ممکن دی او مشاهده یې ډېره سخته ده.

هر پوړ یوازې خپله ساتنه لرې کوي

C د D لپاره د اپلیکیشن پاکټ کوډ کوي. پایله د C نه D ته پته ورکول کېږي، او هماغه A ته رسېږي. هر څه چې وروسته دي په هماغه بیا لیکنې پورې تړلي دي.

A بیا دا د B لپاره کوډ کوي. B بهرنی پوړ کوډ پرانیزي، د C نه D ته پاکټ ویني او لا هم کوډ شوی یې لېږدوي. D داخلي ساتنه لرې کوي او د اپلیکیشن پاکټ سپاري.

نو A او B داخلي پای نقطې او د هغوی میټاډاټا ویني، خو هغه لوري نه دي چې د اپلیکیشن بار کوډ پرانیزي. دا د ډیزاین ریښتینی ځانګړنه ده، نه دا ادعا چې C، D یا د اپلیکیشن کوربه د باور وړ دي.

بهرني ټاکونکي داخلي ګیټوې نوموي

دلته د دې جوړښتونو ډېری ناکامېږي. د تګلارې پر بنسټ بهرني تونل لپاره، هغه ټاکونکي چې تاسو پرې خبرې اترې کوئ باید هغه پتې ولري چې A او B یې په رښتیا کار کوي: 10.60.0.2/32 او 10.70.0.2/32، په سم ځایي او لرې ترتیب سره.

د اپلیکیشن وروستي فرعي شبکې په بهرنيو ټاکونکو کې ایښودل کار نه کوي، ځکه چې کله پاکټ A ته ورسېږي، داخلي انکپسولیشن هغه څه چې A باید وساتي دمخه بیا لیکلي دي. بیا به بهرنۍ تګلاره له هیچا سره سمون ونه خوري، او تونل به پرته له دې چې ډاټا ولېږدوي پورته شي.

بهرنۍ اجازه UDP 500 ته هم مه تنګوئ. داخلي اړیکه خپله ډاټا لار لري، چې د خبرو اترو له مخې ESP یا UDP انکپسولیشن کاروي، او بهرنۍ تګلاره باید هغه پروتوکول اجازه کړي.

په هر ګیټوه کې swanctl --list-sas سره پایله وګورئ او تایید کړئ چې د ماشوم امنیتي اړیکې هغه پتې راپور کوي چې تاسو یې اراده لرله، نه هغه چې تاسو یې فرض کړې وې۔ که لیست د اپلیکیشن فرعي شبکې ښیي، بهرنۍ تګلاره د غلط پوړ لپاره لیکل شوې ده. د لارې اچونې له ډیبګ مخکې ټاکونکي سم کړئ، ځکه لاره به سمه ښکاري او شمېرونکي به نه ځي.

لېږد او د تکرار تله

ټاکونکي د لارې اچونې ځای نه نیسي. A او B باید د C او D ترمنځ ترافیک په دواړو لورو ولېږدوي، چې معنی یې IP لېږد فعال، تونل ته اشاره کوونکې لارې او د بلې خوا ته شته د بېرته راتګ لار ده.

که بهرنی تونل XFRM انټرفیسونه کاروي، لارې انټرفیس ټاکي او خبرې شوې تګلارې لا هم محدودوي چې څه لېږدوي. انټرفیس ساتل شوی پوښ نه پراخوي؛ یوازې دا بدلوي چې کرنل پاکټ څنګه پورته کوي.

تله تکرار دی. د A لار د B بهرنۍ پای نقطې ته باید لاندې شبکې ته ودرېږي، نه هغه تونل ته چې A جوړوي، که نه انکپسولیشن هڅه کوي په خپل ځان کې سفر وکړي او اړیکه هېڅکله بشپړه نه شي.

له پوړونو د زیاتولو مخکې ژباړه وګورئ

له بل هر تنظیم مخکې پر A او B هر سرچینه NAT وګورئ. هغه قاعده چې د C پته د IPsec تګلارې له پلي کېدو مخکې بیا لیکي کولای شي توافق شوي ټاکونکي مات کړي، او کولای شي دا هم بدل کړي چې D د بلې خوا ته څه ترلاسه کوي.

پراخه ماسک کول د دوو پوړونو له امله خوندي نه کېږي. دا پټوي چې لرې لوری کومه پته ویني، او هغه معلومات په رښتیا هغه وخت ته اړتیا وي چې تونل پورته وي او اپلیکیشن نه وي.

که د NAT قاعده واقعاً اړینه وي، ولیکئ چې هر لوری فکر کوي له کومې پتې سره خبرې کوي. هماغه یوه کرښه د دې بحث ډېره برخه حل کوي چې غلطي د تونل ده که د ژباړې. همدارنګه بل انجنیر ته وایي چې یو کال وروسته چې قاعده لرې شي چېرته وګوري. پینګ به له دې څخه هېڅ ونه کړي.

fail-closed ثابت کړئ او MTU وګورئ

د لارې ورکېدل په خپله fail-closed تګلاره نه ده. بله جدول، اصلي لار یا د تګلارې قاعده کولای شي په خاموشۍ بدیل چمتو کړي، او د پوهېدو یوازینۍ لار دا ده چې بهرنی تونل ښکته کړئ او وګورئ د اپلیکیشن ترافیک څه کوي. دا په قصد سره، په یوه کړکۍ کې وکړئ، نه دا چې ناڅاپه یې ومومئ.

درې حالتونه وآزموئ: بهرنی تونل ښکته، داخلی تونل ښکته، او د دواړو له بېرته راتګ وروسته بیا رغونه. په هر ګیټوه کې د تګلارې شمېرونکي وکاروئ، ځکه دوه جوړې شوې IKE غونډې یوازې دا ثابتوي چې د کنټرول طبقې خبرې اترې بریالۍ وې.

د دواړو انکپسولیشنونو لپاره بودیجه ونیسئ. کارکوونکی IKE د کوچنیو پاکټونو پایله ده، او د بشپړ اندازې اپلیکیشن پاکټونه لا هم کولای شي ناکام شي کله چې دوه سرلیکونه ورزیات شي؛ د دې پرځای چې فکر وکړئ شمېرې جمعه کېږي، په ریښتینې لاره کې د پېژندل شوې بار اندازې سره وآزموئ. حساب اسانه دی، لاره نه.