IPsec propuštanje na kućnom ruteru: šta ono zapravo radi

Prekidači propuštanja na ruteru su ustupci za prosleđivanje za uređaj iza njih, a ne VPN usluge. Oni ne upisuju ruter kao klijenta, ne drže akreditive i ne guraju svaki uređaj u kući kroz udaljeni izlaz. Ono što rade jeste da oblikuju kako jedan protokol prelazi prevođenje adresa i filtere. Kad je to jasno, prekidač je lako testirati i lako ostaviti isključenim.

Šta ruter zaista radi

Ruter stoji između klijenta i IPsec partnera i prosleđuje pakete koje nikada nije bio dizajniran da razume. Proizvođači tu funkciju ostvaruju na najmanje tri načina: pomoćnik protokola koji prati ili prepisuje stanje, izuzetak u filteru koji zaustavlja odbacivanje ESP-a, ili režim kompatibilnosti namenjen starijim klijentima. Oznaka u veb interfejsu retko kaže koji od ta tri imate. Samo beleške firmvera ili snimak paketa će vam to reći.

Pomoćnik može i pogoršati stvari. Podrška napisana za stariji tok ponekad smeta klijentu koji već ispravno obrađuje prevođenje. Kad moderan klijent radi sa isključenom opcijom, ostaviti je isključenu bolja je konfiguracija.

Propuštanje nikada ne daje ruteru ključeve partnera. On i dalje vidi spoljne adrese i portove i i dalje primenjuje svoju politiku prosleđivanja na njih.

NAT i NAT-T odlučuju put

IPsec nije napravljen da preživi prevođenje adresa, pa su standardi dodali omotač. NAT traversal inkapsulira ESP unutar UDP-a, dopuštajući običnoj NAT tabeli da nosi tok, a pregovori se dogovaraju o tom prebacivanju tokom IKE-a (RFC 3948). Sam IKE koristi UDP 500, dok inkapsulirani put obično koristi UDP 4500.

Zato pravilo firewall-a koje dopušta samo protokol 50 nije dovoljno na prevedenom putu. Blokiranje 4500 kvari slučaj zbog kojeg omotač postoji, a blokiranje 500 zaustavlja pregovore pre nego što se ikakav tunel formira. Oba smera su važna, jer ruter koji prati stanje obično dopušta odgovor tek nakon što je video zahtev. Doći do porta nije isto kao završiti autentifikaciju, a ni kao proslediti zaštićeni saobraćaj.

Stariji rasporedi se dovoljno razlikuju da vodič napisan za njih može da zavara. Kad klijent nudi oba režima, testirajte onaj koji vaš partner dokumentuje, a ne onaj sa više rezultata pretrage.

Nađite fazu koja pada

Podelite problem na pregovore, autentifikaciju, zaštitu deteta i unutrašnje prosleđivanje, pa prikupljajte dokaze za jednu fazu odjednom. Ponovno pokretanje koje privremeno promeni rezultat dokazuje samo da je neko stanje bilo uključeno.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Snimak pokazuje da li razmena stiže do partnera i da li se odgovori vraćaju, što odvaja problem filtriranja od problema sa akreditivima. Lista stanja pokazuje uspostavljene bezbednosne asocijacije, pa prazna lista posle pokušaja upućuje na pregovore, a ne na rutiranje. Lista pravila pokazuje koji su selektori instalirani, i tu se odredište izvan podmreže isključuje. Pročitajte oba xfrm izlaza pre nego što dirate ruter, jer oni opisuju šta host misli, a ne šta ruter dopušta.

Ako paketi izlaze i ništa se ne vraća, premestite snimak na WAN stranu rutera. Poređenje dveju snimaka lokalizuje ispuštanje bez nagađanja.

Isključite ono što vam ne treba

Jedan radni laptop ne dokazuje da ruter opslužuje nekoliko klijenata odjednom. Svaki klijent stvara sopstveno stanje prevođenja i sopstvene pregovore, a neki pomoćnici prate samo jedan tok. Testirajte broj istovremenih sesija koji vam zaista treba, sa mreža koje zaista koristite. Ako drugi klijent padne dok prvi radi, to je nalaz, a ne nestabilan tunel.

Ostavite opciju uključenom samo kad snimak pokaže da je potrebna. Zabeležite verziju firmvera uz rezultat, jer se ova ponašanja menjaju između izdanja. Cilj je klijentski tunel koji ste proverili, a ne prekidač koji ste uključili s nadom.