IPsec ESP: එය කුමක් ගෙනයනවාද සහ එය ගලා යන බව ඔප්පු කරන්නේ කෙසේද
ESP ටනල් මාදිලියේ අභ්‍යන්තර IP පැකට්ටුව ඔතා SPI මගින් එහි සංගමය හඳුනා ගනී. තත්ත්වය කියවා, පසුව එක් ප්‍රවාහයක් ගණක එසවීම නරඹන්න.
ESP IPsec VPN තුළ රථවාහන ගෙනයයි, එහි runbook එක් නීතියකින් ආරම්භ වේ: ප්‍රතිපත්තියක් වෙනස් කිරීමට පෙර ආරක්ෂක සංගමය කියවන්න. ESP හි අස්පෂ්ට බොහෝ හැසිරීම් නොගැලපුණු තෝරකයකට, කියවීම වෙනුවට උපකල්පනය කළ මාදිලියකට, හෝ එක් ප්‍රවාහයක් යවන විට කිසිවෙකු නොපරීක්ෂා කළ ගණකයකට ආපසු යයි. පහත පියවර තුන තීරණය කරන්නේ කුමක් කුමක් ගෙනයනවාද, එක් ප්‍රවාහයක් එය භාවිතා කරන බව ඔප්පු කරයි, සහ මතකය මත රඳා නොපවතින ආපසු හැරවීමක් ඉතිරි කරයි. සෑම පියවරක්ම ලිවීමට වටිනා එක් නිරීක්ෂණයක් ලබා දෙයි.
කියවීමට පෙර ක්ෂේත්‍ර දැනගන්න
ESP ආරක්ෂිත දත්ත ඉදිරියේ ශීර්ෂයක් සහ පසුපසින් වලිගයක් තබයි. ශීර්ෂය ලබන්නා කුමන සංගමය භාවිතා කළ යුතුද යන්න හඳුනා ගන්නා ආරක්ෂක පරාමිති දර්ශකයක්, පුනරාවර්තනය හඳුනා ගැනීමට අනුක්‍රම අංකයක්, සහ වලිගයේ සයිෆරය සඳහා භාරය පෙළගැස්ව තබන පිරවුමක් ගෙනයයි. වලිගයේ ඊළඟ ශීර්ෂ ක්ෂේත්‍රය ආරක්ෂිත අන්තර්ගතය කුමක්ද යන්න පවසයි, එසේ ලබන්නා තමා ඩිකැප්සියුලේට කළ දේ දැනගනී.
මාදිලිය එම ආරක්ෂණය තුළ කුමක් තිබේද යන්න වෙනස් කරයි. ටනල් මාදිලියේ ආරක්ෂිත ද්‍රව්‍යය සම්පූර්ණ අභ්‍යන්තර IP පැකට්ටුවකි, නව බාහිර ශීර්ෂයක් එය කෙළවර දෙක අතර ගෙනයයි. ප්‍රවාහන මාදිලියේ ආරක්ෂණය දැනට ඇති පැකට්ටුවක ඉහළ ස්ථරයේ භාරය ඔතා ගනී, එබැවින් විවෘත කිරීමට දෙවන IP ශීර්ෂයක් නැත. කුමන මාදිලියක් භාවිතා වේද යන්න වින්‍යාසයේ කරුණකි, අර්ථ නිරූපණ ප්‍රශ්නයක් නොවේ. රූප සටහනකින් අනුමාන නොකර තත්ත්ව සටහනෙන් එය කියවන්න.
මාදිලි දෙකෙන් කිසිවක් පැකට්ටුව ගෙන යා යුතු බාහිර ලිපිනය සඟවන්නේ නැත. එය නිර්මාණයේ ලක්ෂණයකි, ඌනතාවක් නොවේ, එබැවින් මැද නිරීක්ෂකයෙකුට භාරය විනිවිද නොපෙනුණත් කුමන ලිපින දෙකක් කථා කරනවාද යන්න තවමත් දැකිය හැක.
පළමු පියවර: තත්ත්වය කියවා, පසුව ප්‍රතිපත්තිය
තත්ත්ව සටහන් යතුරු සහ ගණක රඳවා ගනී; ප්‍රතිපත්ති සටහන් කාට ඒවා භාවිතා කළ හැකිද යන්න තීරණය කරන තෝරක රඳවා ගනී. Linux තුළ දෙකම පැකට්ටුව අල්ලා නොගෙන පෙනේ, එම අනුපිළිවෙලින් කියවීම ප්‍රශ්න දෙක වෙන් කර තබයි.
ip xfrm state
ip xfrm policyතත්ත්ව ප්‍රතිදානයේ සංගමයේ මූලාශ්‍රය සහ ගමනාන්තය, මාදිලිය, සහ එන්කැප්සියුලේෂන් UDP වරාය පෙන්වන්නේද යන්න පරීක්ෂා කරන්න. එම වරාය පෙන්වන්නේ NAT තරණය භාවිතා වන බවය, එය මැද ෆයර්වෝලයක් අවසර දිය යුතු දේ වෙනස් කරයි, නමුත් කෙළවරවල කුමන තෝරක හෝ යතුරු බලපාන්නේද යන්න නොවේ.
පසුව ප්‍රතිපත්තියේ තෝරක කියවන්න. ඔබ පරීක්ෂා කරන රථවාහනයට වඩා පටු උපසර්ගයක් නම් කරන තෝරකය ක්‍රියාකාරී ටනලයක් ප්‍රවාහයක් නොසලකා හරින බව පෙනෙන පොදුම හේතුවයි, වැරදි ප්‍රොටෝකෝලයක තෝරකයද එම නිශ්ශබ්දතාවය ලබා දෙයි.
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
විකුණුම්කරුවන්ගේ මෙවලම් එම තොරතුරු වඩාත් පහසු ආකාරයෙන් මුද්‍රණය කරයි. ipsec statusall strongSwan හි එය දරු සංගම්, ඒවායේ තෝරක සහ බයිට් ගණක ලැයිස්තුගත කරයි, එය කුමන දරුවා දෙස බැලිය යුතුද යන්න දැනටමත් දන්නා විට අමු xfrm ප්‍රතිදානය කියවීමට වඩා බොහෝ විට වේගවත් ය.
දෙවන පියවර: එක් ප්‍රවාහයක් ගණක එසවීම ඔප්පු කරන්න
ගණක අර්ථවත් වන්නේ ඒවා ඇද ගත යුත්තේ කුමක්ද යන්න ඔබ දන්නා විට පමණි, එබැවින් තෝරකය නිසැකව ආවරණය කරන මූලාශ්‍රය සහ ගමනාන්තය තෝරා හානිකර නොවන ඉල්ලීමක් යවන්න. පසුව එම සටහන නැවත කියවා සසඳන්න.
ip -s xfrm state
tcpdump -ni any espකියවීම් දෙකක් වෙනස් කථා පවසයි. පිටවන පැත්තේ වැඩි වුවත් ඇතුළු වන පැත්තේ කිසිදා නොවැඩි පැකට්ටු යතුරේ ගැටලුවකට නොව යැවීම හෝ ආපසු මාර්ගයේ ගැටලුවකට ඉඟි කරයි, මන්ද පැකට්ටුව එන්කැප්සියුලේට වී ගියේය. කිසිදු ගණකයක් නොසැලුණේ නම් රථවාහනය කිසිදා ප්‍රතිපත්තියට නොගැලපුණි, සහ බැලිය යුතු තැන තෝරකයයි.
එම පියවරේදීම ග්‍රහණය කිරීම රැහැනේ ඇති එන්කැප්සියුලේෂන් තහවුරු කරයි, බාහිර පැකට්ටු ESP ද නැතහොත් UDP හි එන්කැප්සියුලේට කළ ESP ද යන්නද ඇතුළත්ව. එය ප්‍රවාහය සැබවින්ම ගෙන ගිය ලිපිනද ඔබට පෙන්වයි, ඒවා සමහර විට ඔබ කියවමින් සිටි වින්‍යාසයේ ලිපිනවලට වඩා වෙනස් වේ.
තෙවන පියවර: එක් දෙයක් වෙනස් කර ආපසු හැරවීමක් තබා ගන්න
කිසිවක් සංස්කරණය කිරීමට පෙර සංගමයේ මූලාශ්‍රය, ගමනාන්තය, මාදිලිය, තෝරක සහ ගණක සටහන් කරන්න. වෙනසක් තත්ත්වය නරක අතට හරවන්නේ නම්, අනුමානයකින් ක්‍රියාකාරී වින්‍යාසයක් නැවත ගොඩනැගීම වෙනුවට පෙර තත්ත්වය නැවත පිහිටුවීමට ඉඩ දෙන්නේ එම සටහනයි. එම සටහන ලිවීමට මිනිත්තුවක් ගතවන අතර පසුව පැයක් ඉතිරි කරයි. වෙනස කළ පුද්ගලයාට පසුව ඉතිරි වන එකම නිර්මාණයද එයයි.
එක් තෝරකයක් හෝ එක් පරාමිතියක් වෙනස් කර, එය නැවත පූරණය කර, එම ප්‍රවාහය මත දෙවන පියවර නැවත කරන්න. සංගමය මකා දැමීම එය භාවිතා කරන සෑම ප්‍රවාහයක්ම කඩා දමයි, එබැවින් ඉලක්කගත සංස්කරණය සහ දරුවා නැවත පූරණය කිරීම සිදුවන්නේ කුමක්දැයි බැලීමට තත්ත්වය හිස් කිරීමට වඩා මගහැරීමකින් තොරව හොඳය.
තෝරක සංස්කරණයේ ආපසු හැරවීම යනු පෙර ප්‍රතිපත්තිය නැවත පිහිටුවා නැවත පූරණය කිරීමයි, තෝරකය දේශීය නොව සාකච්ඡා මගින් තීරණය වන්නේ නම් සගයාට ගැලපෙන වෙනසක් අවශ්‍ය විය හැකි යන කොන්දේසිය සමඟ. එම යැපීම නැවුම්ව ඇති විටම ලියන්න, මන්ද අඩක් නැවත පිහිටුවන ලද යුගලයක් අවසන් තත්ත්ව දෙකෙන් ඕනෑම එකකට වඩා සිතීමට අපහසු ය.
අවසාන වශයෙන්, විෂය පථය අවංකව තබා ගන්න. ගලා යන ESP සංගමයක් ඔප්පු කරන්නේ ගේට්වේ දෙකක් කොටස ආරක්ෂා කර බෙදාහරින බවයි, සහ ඉහළ යෙදුම තම පරිශීලකයන් සත්‍යාපනය කරනවාද නැතහොත් ගබඩා කරන දේ සංකේතනය කරනවාද යන්න ගැන කිසිවක් නොපවසයි. ඒවා වෙනස් සාක්ෂි සහිත වෙනස් පාලන වන අතර, ඊළඟ පුද්ගලයාට සටහන්වලින් එය නැවත කළ හැකි විට පමණක් runbook සම්පූර්ණ වේ.