د IPsec تونل انټرفیس څارنه: څه باید ولولو

د لارو پر بنسټ IPsec ډیزاین یو مجازي انټرفیس نصبوي، او دا انټرفیس څارنې ته یو مشخص شی ورکوي: یو څه چې نوم، شمارونکي او ورسره تړلې لاره ولري. دا پخپله د روغتیا اشاره نه ده. انټرفیس کېدای شي شتون ولري پداسې حال کې چې هېڅ کارېدونکې اتحادیه نصب نه وي، او اتحادیه کېدای شي روغه وي پداسې حال کې چې هېڅ لاره ورته زړه‌پوهه ټرافیک نه لېږي. څلور حالتونه یوځای لوستل هغه څه دي چې د بستې شمارونکی په تشخیص بدلوي.

دوی په ترتیب سره وګورئ او په لومړي ناکام حالت ودرېږئ.

انټرفیس انځور ته څه زیاتوي

په پالیسۍ ولاړ ډیزاین کې انتخاب د IPsec پالیسی جدول کې ژوند کوي او کرنل د ټرافیک د ټاکونکو پر بنسټ پرېکړه کوي چې څه به ساتل کېږي. د لارو پر بنسټ ډیزاین یو انټرفیس او یوه لاره زیاتوي، نو tcpdump او د انټرفیس شمارونکي د ټاکونکو د ټولګې پر ځای یوه پوله ویني. دا د تشخیص او د هغو لارښوونکو پروتوکولونو لپاره ریښتینی ګټه ده چې peering لپاره انټرفیس ته اړتیا لري.

ګټه اداري ده، نه کریپټوګرافیکه. انټرفیس د هغه ټرافیک راپور ورکوي چې وړي یې، او د دې په اړه هېڅ نه وایي چې د سیال خوا ساتنه اوس کارېدونکې ده که نه.

د تونل د ملامتولو مخکې څلور حالتونه ولولئ

له انټرفیس او لارې پیل وکړئ، بیا له اتحادیې، بیا له اپلیکیشن. هر یو خپل امر او خپله د ناکامۍ نښه لري. په یوه پوړ کې پاکه پایله په بل پوړ کې پاکه پایله نه ده. د پایلې اخیستلو مخکې څلورواړه وچلوئ. یوه شنه کرښه په ندرت سره څه حل کوي.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

هغه انټرفیس چې شمارونکی یې لوړېږي خو ورته ورته حالت ثبت نه لري، هغه ټرافیک بیانوي چې داسې لار ته ننوځي چې هلته هېڅ شی یې نه ساتي، او دا له یوازې بند شوي تونل څخه بدتر دی. د لارې پرته د حالت ثبت چې انټرفیس به یې ټاکي، مانا دا ده چې کریپټوګرافي چمتو او نااستعماله ده.

د اپلیکیشن ازموینه په قصد سره په آخر کې راځي: د تونل بلې خوا ته بریالۍ ping ثابتوي نه چې تر شا خدمت اړیکې مني.

داخلي شمارونکي له بهرنیو شمارونکو سره پرتله کړئ

د تونل انټرفیس شمارونکي داخلي ټرافیک اندازه کوي؛ د فزیکي انټرفیس شمارونکي او ثبتونه encapsulated تبادله ښیي. دا دواړه به یو په یو سره سمون ونه خوري، ځکه encapsulation سرلیکونه زیاتوي، بیا لېږل ځینې بستې تکراروي او د implementation حساب خپلې قاعدې لري. د برابرۍ نه، د تناسب تمه وکړئ.

د ثبت ځای دا هم ټاکي چې کوم شخصي معلومات راغونډوئ، نو د تولیدي ټرافیک د بشپړ ثبت پر ځای تنګ فلټرونه او یو بې‌زیانه ازموینه پته وکاروئ.

که داخلي شمېرې لوړې شي او بهرنۍ نه، نو ورکه پړاوه معمولاً هغه لاره یا پالیسي ده چې بستې تونل ته لېږي، نه پخپله تونل.

د کیلي نوي کولو او بدیل بدلون په اوږدو کې یې وګورئ

د هماغو څلورو حالتونو په څارلو سره د کیلي نوي کول، د مړ سیال د پېژندنې پېښه او د اړیکې بدیل بدلون وګورئ. انټرفیس کېدای شي د کیلي د نوي کولو په ترڅ کې چې هېڅکله بشپړ نه شي شتون ولري، او بدلون کېدای شي د حالت ثبت داسې پاتې کړي چې د سیال هغه پتې ته اشاره وکړي چې نوره د لاسرسي وړ نه ده.

پر هغه خدمتي لار خبرتیا ورکړئ چې واقعاً ورته اړتیا لرئ، د اتحادیې حالت د شالید په توګه وکاروئ، نه پر یوه یوازې پورتنۍ یا لاندنۍ بیرغ. د انټرفیس نوم، د سیال پته او لاره د خبرتیا په بار کې وساتئ، ترڅو ځواب ورکوونکی یې بیا جوړولو ته اړ نه شي.

strongSwan خپل XFRM انټرفیس ماډل مستند کوي، او نور پلیټ فارمونه معادل شی بل نوم او بل ډول پلي کوي. له بل implementation څخه انګېرنې لېږدولو مخکې د خپل مخې وسیلې لپاره د لارو پر بنسټ پرتله ولولئ. د څارنې کټه چې د یوه تولیدوونکي شمارونکو سره ځي، په بل کې په غلېزه کې اچوي.