څنګه د لارې پر بنسټ IPsec د XFRM انټرفیس سره کار کوي

د لارې پر بنسټ IPsec د لارښوونې جدول ته هغه پرېکړه سپاري چې پخوا د تګلارې انتخاب کوونکي یې کول۔ په Linux کې هغه برخه چې دا ممکنه کوي د XFRM انټرفیس دی: یو مجازي وسیله چې ټرافیک یې د انتخاب کوونکي پرځای د انټرفیس پېژندنې له مخې د IPsec حالت سره سمون لري۔ یو جوړول یوازې یو حکم غواړي او د تونل د شتون په اړه هېڅ نه ثابتوي۔ وسیله د لارښوونې او امنیتي تګلارې ترمنځ یو څنګل دی، او د دې څنګل دواړه خواوې باید د هغه څه له خوندیتوب مخکې تنظیم شي۔

وسیله څه ده او څه نه ده

XFRM انټرفیس د لارښوونې لاستی دی۔ هغې ته لارښوونې شوې بستې د XFRM تګلارو سره سمون لري چې هماغه انټرفیس پېژندنه یادوي، او که تګلاره او حالت دواړه وي، نو دوی غلاف کیږي۔ د هغو پرته انټرفیس شته، شمارونکي ځای پرځای پاتې کیږي، او ټرافیک بې ګټې ځای ته ځي۔

دا لومړنی تشخیصي ویش دی۔ وسیله ته تلونکې لاره د لارښوونې حقیقت دی، نصب شوی حالت د امنیت حقیقت دی، او پر وسیله لوړیدونکی شمارونکی د دواړو څخه هېڅ نه دی۔ کله چې خلک وایي تونل پورته دی ځکه انټرفیس UP ښیي، دوی د هغې مجازي وسیلې د نښلېدنې بیرغونه بیانوي چې خپل جوړه نه لري۔ بیرغ مانا داده چې وسیله جوړه او فعاله شوه، نور هېڅ نه۔

یوه بله پوله: د انټرفیس پېژندنه نوم نه دی۔ دوه وسایل چې ورته نومونه او بېلابېلې پېژندنې لري حالت نه شریکوي، او د غلطې پېژندنې سره تنظیم شوې اړیکه هغه حالت نصبوي چې هېڅ لاره به یې هیڅکله ونه کاروي۔

یو یې په سم ترتیب جوړ کړئ

د بهرنۍ وسیلې او هغې شمېرې سره پیل وکړئ چې په ډیمون تنظیماتو کې به یې هم ږدئ۔ بېلګه د بهرني انټرفیس په توګه eth0 او د پېژندنې په توګه 42 کاروي، دا پتې باید په خپلو پتو بدلې کړئ۔

وسیله پورته کړئ، بیا د VPN تنظیماتو له لمس کولو مخکې د کرنل ثبت کړې پېژندنه تایید کړئ:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

اوس په strongSwan کې اړیکه په هماغه پېژندنه تنظیم کړئ، ځکه ډیمون باید هغه تګلارې او حالتونه نصب کړي چې هغې ته اشاره کوي۔ ځایي او لرې ټرافیک انتخاب کوونکي هغه ساحې ته وټاکئ چې غواړئ لارښوونه ورته وکړئ، بیا هغه ساحه وسیلې ته لارښوونه کړئ۔ د ډیمون تنظیمات او د لارښوونې جدول باید د پېژندنې او منزلونو دواړو په اړه سلا شي، او هېڅ یو بل نه برابروي۔

IKE او ESP دې د تونل له لارې بهر وي

د XFRM وسیلې ته اشاره کوونکې اصلي لاره غلاف شوې بستې او هغه ټرافیک چې دوی یې وړي دواړه نیسي۔ پایله یوه کړۍ ده: ګېټوې هڅه کوي خپل ESP د هغه تونل له لارې ولېږي چې ESP باید جوړ کړي۔

حل دا دی د جوړې بهرنۍ پتې لپاره ډېره ځانګړې لاره د فزیکي انټرفیس له لارې، کومه چې اصلي لاره ماتوي ځکه چې ډېرو بټونو سره سمون لري۔ د نښې پر بنسټ لارښوونه هماغه کار کوي کله چې څو تونلونه یو جدول شریکوي، او strongSwan د لارې پر بنسټ ځای پرځای کولو لپاره دواړه لارې مستند کوي۔

هر څه چې غوره کړئ، تایید کړئ چې بهرنۍ بسته پرته له غلاف بهر ځي۔ چټکه څېړنه دا ده چې د تونل له پورته کیدو وروسته د جوړې بهرنۍ پتې ته ping وکړئ؛ که دا د انټرفیس د پورته والي پر مهال ناکام شي، نو د رسیدو پرځای د نیول کیدو شک وکړئ۔ هماغه منطق د IKE پورټ لپاره هم صدق کوي، ځکه د ډیمون خپل UDP ټرافیک باید هغې وسیلې ته لارښوونه نه شي چې هغه یې د جوړولو هڅه کوي۔

مخکې له دې چې کوډګري ملامته کړئ، شمارونکي په دوه ځایونو کې وګورئ

د انټرفیس شمارونکي او د حالت شمارونکي بېلابېل پړاوونه اندازه کوي۔ وسیلې ته لارښوونې شوې بستې وسیله زیاتوي حتی کله چې هېڅ حالت سمون ونه لري، خو د حالت شمارونکي یوازې هغه ټرافیک لپاره ځي چې واقعاً غلاف شوی وي۔

دواړه ولولئ، بیا د ماشوم اړیکې په اړه د ډیمون لید ولولئ:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

د وسیلې شمارونکو لوړیدل د حالت د تش تولید سره مانا داده چې لارښوونه کار کوي او تګلاره سمون نه لري، معمولاً د پېژندنې یا انتخاب کوونکي تېروتنه۔ د حالت شمارونکو لوړیدل په داسې حال کې چې لرې خوا هېڅ نه راپور کوي مانا داده چې بستې وځي خو نه رسیږي یا تصدیق کې ناکام کیږي، کوم چې لارې یا د جوړې تنظیماتو ته اشاره کوي۔ په لیست کې راغلې ماشوم اړیکه چې صفر ټرافیک لري په یوه سر کې د انتخاب کوونکي ستونزه ده، نه مات شوی سایفر۔

پرېکړه وکړئ چې لارې څوک نصبوي

یوې لارښوونې جدول ته دوه مالکان معمولاً د ځوړندوالي سرچینه ده۔ که ډیمون لارې په اتوماتيک ډول نصب کړي، ستاسو شبکه مدیر هم باید د هماغې وسیلې له لارې اصلي لاره نصب نه کړي، او د پیل سکریپټ لخوا زیاته شوې لاسي لاره به د ډیمون په راتلونکي بیا تنظیم کې لیرې شي۔

یو مالک غوره کړئ او هغه ولیکئ۔ کله چې لارې د ډیمون وي، پیل سکریپټ له جدول بهر وساتئ او اجازه ورکړئ چې د اړیکې تعریف د ټرافیک انتخاب کوونکي بیان کړي۔ کله چې دوی د شبکه مدیر وي، اتوماتیک نصب غیر فعال کړئ او ومنئ چې ډیمون به د بیا نښلېدنې پر مهال ورکه شوې لاره سمه نه کړي۔

د لېږد او د فایر وال قواعد پر دې باندې جلا پرېکړه ده، ځکه هغه ګېټوې چې د نورو کوربه تګ راتګ تېروي دواړو ته اړتیا لري۔ د لارې پر بنسټ IPsec هغه ټرافیک د عادي لارښوونې وسایلو سره بیانول اسانه کوي؛ دا د تګلارې پوړ اختیاري نه کوي۔