د IPsec د ترافیک ټاکونکي: څه پوښي او څه نه

د ترافیک ټاکونکي هغه داخلي ترافیک نوموي چې د IPsec تړون یې ساتنه کوي، او دا جوړه انګیرل کیږي نه، بلکې د خبرو اترو له مخې ټاکل کیږي۔ دوه پایونه کولای شي یو بل په بشپړ ډول تصدیق کړي او بیا هم په دې کې سره مخالف وي چې کومې بستې د تونل دننه راځي۔ دا اختلاف د اړیکې په حالت کې نه ښکاري، چې معمولاً یو روغ تونل راپور کوي۔ ټاکونکي له دواړو پایونو لوستل او بیا یوه منزل تعقیبول هغه له هر ډول تګلارې سمونې ګړندي مومي۔

هغوی له دواړو پایونو ولولئ

هر پای خپل اړخ ځایي او بل اړخ لیرې ښيي۔ نو ځکه هماغه پریفکس-جوړه په دواړو ترتیباتو کې بدله ښکاري، او دا سمه ده، نه متناقضه۔ د لیدلوري بدلول لومړنی کار دی چې باید وکړل شي کله چې یو فعال تړون پر کاغذ غلط ښکاري۔ دوه فایلونه پرته له بدلولو څنګ په څنګ پرتله کول هغه ناسمونکی جوړوي چې نشته۔

ارزښتونه تل یوازې فرعي شبکې نه وي۔ د IKEv2 ټاکونکي کولای شي د پتې حدونه، د پروتوکول شمېرې او د پورت حدونه وړوي، او په همدې توګه تګلاره د ټول شبکې پر ځای د یوې خدمت ساتنه کوي۔ له مطلوب ترافیک څخه تنګ ټاکونکی هغه تونل جوړوي چې ځینې منزلونه وړي او نور په غلې ډول وباسي۔

له هر څه بدلولو مخکې دواړه اړخونه په یوه جدول کې ولیکئ۔ دا تمرین معمولاً پرته له دې چې د ترتیباتو فایل ته لاس ووهي پوښتنه حل کوي۔

تنګول د ځواب ورکوونکي پرېکړه ده

پیل کوونکی وړاندیز کوي، او ځواب ورکوونکی یوازې فرعي مجموعه منلی شي۔ IKEv2 ځواب ورکوونکي ته اجازه ورکوي چې وړاندیز شوي د ترافیک ټاکونکي تنګ کړي، او تنګ شوې پایله هغه ده چې واقعاً نصب کیږي۔ نو ځکه د پیل کوونکي ترتیبات لوستل یو وړاندیز بیانوي، نه تړون۔

نو ځکه کله چې کلینټ ته یوه فرعي شبکه ورزیاته شي، کولای شي یو فعال تونل جوړ کړي چې بیا هم نوی منزل ردوي۔ سرور وړاندیز تر هغې اندازې تنګ کړ چې تګلاره یې اجازه ورکوي، په داسې حال کې چې د کلینټ فایل لا هم پراخه حد لیستوي۔ یوازې د خبرو اترو ټاکلی حالت رښتیا ښيي: په Linux کې ip xfrm policy او په د strongSwan د IKEv2 اسنادو کې child SA لیست هغه څه راپور کوي چې نصب شوي، نه هغه چې غوښتل شوي۔ کله چې دواړه سره اختلاف ولري، د ځواب ورکوونکي تګلاره هغه ده چې باید بدله شي۔

رد شوی وړاندیز له تنګ شوي څخه بېل نښه ده۔ ردول د خبرو اترو په ثبت کې ښکاري او هېڅ child اړیکه نه پرېږدي۔

یوه منزل له سره تر پایه تعقیب کړئ

هغه ریښتینی منزل او د سرچینې پته وټاکئ چې کلینټ به یې ورته کاروي، بیا هغه جوړه د درې خپلواکو پرېکړو له لارې تېره کړئ۔ لاره یوه واټ ټاکي، ټاکونکی پرېکړه کوي چې هغه واټ ساتل شوی که نه، او د اور دیوال پرېکړه کوي چې بسته اجازه لري که نه۔ هر یو یوازې پاتې کېدای شي، او پراخه ټاکونکی د نورو له یوه هم نه سموني۔

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

د لارې پوښتنه هغه انټرفیس او د سرچینې پته نوموي چې بسته به وړي۔ د تګلارو لیست ښيي چې دې جوړې لپاره سمونده د تونل تګلاره شته که نه، د هغې لوري او کچې سره۔ د SA لیست د خبرو اترو ټاکونکي child ټاکونکي د شمېرونکو سره ښيي، نو د ترافیک له ازمویلو وروسته صفر بستې لرونکې child اړیکه د هغو ټاکونکو نښه ده چې لېږل شوي څیز باسي۔ درې حکمونه، درې بېل ځوابونه، او یوازې یو یې په غلې ډول لوېدو توضیح کوي۔

که د اپلیکیشن په ناکامۍ سره سره child شمېرونکي خوځیږي، ستونزه له تونل هاخوا ده۔ دا څېړنه د ټاکونکو پر ځای لیرې کوربه اورېدونکي یا د اور دیوال ته وړي۔

دواړه موخې جلا وساتئ

د دفتر فرعي شبکه ساتل او ټول براوزینګ د لیرې وتنې له لارې لېږل د بېلو ټاکونکو سره بېلې اړتیاوې دي۔ یو لپاره جوړ شوی پروفایل بل ته کم وخت ځای پرځای کیږي، او دواړه ګډول یا تویېدل یا مات تقسیم جوړوي۔ د ساتل شوي حد پراخول د دواړو پایونو او د هغوی د لېږلو تګلارې بدلول دي، ځکه یو اړخیزه بدلون رد شوی وړاندیز کیږي۔ کوچني سمون وروسته فعال تونل د کار کولو ختمولو ترټولو عامه لاره همدا ده۔

ټاکونکي کریپټوګرافیک پوښ بیانوي، لارې واټونه ټاکي، او اپلیکیشنونه خپلې اجازې پلي کوي۔ هغه تونل چې هر څه پوښي بیا هم د loopback پورې تړلي خدمت ته نه شي رسېدلی، او تونل ته د ننوتلو لاره لا هم د هغه ټاکونکي اړتیا لري چې منزل ولري۔ درېواړه پر هماغه ازموینه غوښتنه وګورئ، او ناسمونکی به خپل نوم واخلي۔