د کور روټر کې د IPsec تېرېدل: دا واقعاً څه کوي

د روټر د تېرېدو سوئيچونه د هغوی شاته وسيلې لپاره د لېږد اجازې دي، نه VPN خدمتونه۔ دوی روټر د کلیانټ په توګه نه ثبتوي، سندونه نه ساتي او په کور کې هر وسیله د لرې وتنې له لارې نه تېروي۔ دوی څه کوي دا چې دا بڼه ورکوي چې څنګه یو پروتوکول د پتې ژباړه او فلټرونه تېروي۔ کله چې دا روښانه شي، سوئيچ ازمویل هم اسانه او بند پرېښودل هم اسانه کېږي۔

روټر واقعاً څه کوي

روټر د کلیانټ او IPsec ملګري تر منځ ناست دی او هغه پاکټونه لېږدوي چې د پوهېدو لپاره هېڅکله نه و جوړ شوی۔ جوړونکي دا ځانګړنه لږ تر لږه په درې لارو پلي کوي: د پروتوکول مرستندوی چې حالت تعقیب یا بیا لیکي، د فلټر استثنا چې د ESP غورځول بندوي، یا د زوړ کلیانټ لپاره د مطابقت حالت۔ د وېب انټرفېس نښه په ندرت سره وایي چې له درېیو کوم یو لرئ۔ یوازې د فرم ویئر یادښتونه یا د پاکټ ثبت به دا ووایي۔

مرستندوی کېدای شي کارونه نور هم خراب کړي۔ د زوړ بهیر لپاره لیکل شوې مرسته کله ناکله هغه کلیانټ ته خنډ کېږي چې ژباړه لا دمخه سمه سمبالوي۔ کله چې عصري کلیانټ د اختیار بند سره کار کوي، بند یې پرېښودل غوره ترتیب دی۔

تېرېدل هېڅکله روټر ته د ملګرو کیلي نه ورکوي۔ دا لا هم بهرني پتې او پورټونه ویني، او لا هم پر هغوی خپله لېږد تګلاره پلي کوي۔

NAT او NAT-T لار ټاکي

IPsec د پتې ژباړې د ژوندي پاتې کېدو لپاره نه و جوړ شوی، نو معیارونو یو پوښ ورزیات کړ۔ NAT تېرېدل ESP د UDP دننه نغاړي، چې یو عادي NAT جدول ته اجازه ورکوي بهیر یوسي، او خبرې اترې د IKE په جریان کې پر دې بدلون هوکړه کوي (RFC 3948)۔ IKE پخپله UDP 500 کاروي، په داسې حال کې چې نغاړل شوې لار معمولاً UDP 4500 کاروي۔

له همدې امله یوازې د پروتوکول 50 اجازه ورکوونکی فایر وال قاعده په ژباړل شوې لار کې بس نه ده۔ د 4500 بندول هغه حالت ماتوي چې پوښ د هغې لپاره شته، او د 500 بندول خبرې اترې د کوم تونل له جوړېدو دمخه دروي۔ دواړه لوري مهم دي، ځکه چې د حالت تعقیبوونکی روټر معمولاً ځواب یوازې د غوښتنې له لیدو وروسته اجازه کوي۔ پورټ ته رسېدل د تصدیق بشپړولو سره یو شان نه دي، او نه د ساتل شوي ټرافیک لېږلو سره۔

زوړ ترتیبات دومره توپیر لري چې د هغوی لپاره لیکل شوی لارښود ګمراه کوونکی کېدای شي۔ کله چې کلیانټ دواړه حالتونه وړاندې کوي، هغه مه ازموئ چې ډېرې لټون پایلې لري، بلکې هغه چې ستاسو ملګری یې اسناد کوي۔

ناکام پړاو ومومئ

ستونزه په خبرو اترو، تصدیق، د ماشوم ساتنه او داخلي لېږد ووېشئ، بیا هر ځل د یو پړاو لپاره شواهد راټول کړئ۔ هغه بیا پیل چې پایله لنډمهاله بدلوي یوازې دا ثابتوي چې یو څه حالت پکې ښکېل و۔

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

ثبت ښیي چې تبادله ملګري ته رسېږي که نه او ځوابونه بېرته راځي که نه، چې د فلټر ستونزه د سند ستونزې څخه بېلوي۔ د حالت لیست تاسیس شوې امنیتي اړیکې ښیي، نو له هڅې وروسته خالي لیست د لېږد پرځای خبرو اترو ته اشاره کوي۔ د تګلارې لیست ښیي چې کوم ټاکونکي نصب دي، او هم هلته د فرعي شبکې بهر هدف لرې کېږي۔ له روټر لاس وهلو دمخه د xfrm دواړه وتنې ولولئ، ځکه چې دوی هغه څه بیانوي چې کوربه یې باور لري نه هغه څه چې روټر یې اجازه ورکوي۔

که پاکټونه ووځي او هېڅ نه راګرځي، ثبت د روټر WAN خواته یوسئ۔ د دواړو ثبتونو پرتله کول پرته له اټکله د غورځېدو ځای معلوموي۔

هغه څه بند کړئ چې اړتیا یې نه لرئ

یو کار کوونکی لپ ټاپ ثابتوي نه چې روټر په یو وخت کې څو کلیانټه سمبالوي۔ هر کلیانټ خپل ژباړې حالت او خپلې خبرې اترې جوړوي، او ځینې مرستندویان یوازې یو بهیر تعقیبوي۔ هغه شمېر ازموئ چې واقعاً یې اړتیا لرئ، له هغو شبکو چې واقعاً یې کاروئ۔ که دویم کلیانټ ناکام شي او لومړی ښه روان وي، هغه پېدا کتنه ده، نه بې ثباته تونل۔

اختیار یوازې هغه وخت چالان وساتئ چې ثبت یې اړتیا ښیي۔ د پایلې ترڅنګ د فرم ویئر نسخه ولیکئ، ځکه چې دا چلندونه د خپرونو تر منځ بدلېږي۔ هدف هغه کلیانټ تونل دی چې تاسو تصدیق کړی، نه هغه سوئيچ چې په هیله مو چالان کړی۔