IPsec තුළ IPsec: පිටත උමග විසින් ගෙන යා යුතු ලිපින මොනවාද

දෙක් ස්ථර වෙනස් යන්ත්‍රවල අවසන් වන විට නෙස්ටඩ් IPsec ගැන සිතීම පහසුය. ගේට්වේ හතරක්, උමං දෙකක් සහ සැලසුම ක්‍රියා කරන්නේද යන්න තීරණය කරන එක් ප්‍රශ්නයක්: ඇතුළත උමග පැකට්ටුව සමඟ අවසන් වූ පසු පිටත උමග සැබවින්ම දකින්නේ කුමක්ද? ඊට පිළිතුරු දෙන්න, එවිට තෝරක, මාර්ග සහ ගැටලු විසඳීමේ අනුපිළිවෙල තමන්ම පැමිණේ. වැරදි නම්, තාක්ෂණිකව ක්‍රියාත්මක උමගක් ඩීබග් කරමින් දිනක් ගත කරනු ඇත.

ගේට්වේ හතරේ ආකෘතිය

පිටත ගේට්වේ A සහ B දෙක අතර පළමු උමග ගොඩනඟයි. A පිටුපස සංක්‍රමණ ලිපිනය 10.60.0.2 සහිත ඇතුළත ගේට්වේ C ද, B පිටුපස සංක්‍රමණ ලිපිනය 10.70.0.2 සහිත ඇතුළත ගේට්වේ D ද ඇත. යෙදුම් ජාල C සහ D පිටුපස ජීවත් වේ, සහ උදාහරණයේ සෑම ලිපිනයක්ම හිතාමතාම අතිච්ඡාදනය නොවේ.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

ස්ථර හතරකට බෙදීම යනු සෑම යන්ත්‍රයක්ම එක් මායිමක් බලාත්මක කරන බවයි. ස්ථර දෙකම එකම ධාරකයක ධාවනය කරන විට එකම යන්ත්‍රයක ප්‍රතිපත්ති කට්ටල දෙකක්, මාර්ග වගු දෙකක් සහ අසාර්ථක වීමේ ආකාර දෙකක් සමපාත කළ යුතුය, එය හැකි නමුත් නිරීක්ෂණය කිරීම වඩාත් අපහසුය.

සෑම ස්ථරයක්ම ඉවත් කරන්නේ තමන්ගේ ආරක්ෂාව පමණි

C, D සඳහා යෙදුම් පැකට්ටුවක් සංකේතනය කරයි. ප්‍රතිඵලය C සිට D දක්වා ලිපිනගත වන අතර එයයි A වෙත ළඟා වන්නේ. ඉන් පසු සියල්ල එම නැවත ලිවීම මත රඳා පවතී.

A එය B සඳහා නැවත සංකේතනය කරයි. B පිටත ස්ථරය විසංකේතනය කර, C සිට D දක්වා පැකට්ටුවක් දැක, එය තවමත් සංකේතිතවම ඉදිරියට යවයි. D ඇතුළත ආරක්ෂාව ඉවත් කර යෙදුම් පැකට්ටුව බාර දෙයි.

එබැවින් A සහ B ඇතුළත අන්ත ලක්ෂ්‍ය සහ ඒවායේ මෙටාදත්ත දකිති, නමුත් යෙදුම් ගෙවුම විසංකේතනය කරන පාර්ශ්වයන් ඔවුන් නොවේ. එය සැලසුමේ සැබෑ ගුණාංගයකි, C, D හෝ යෙදුම් ධාරක විශ්වාසනීය යැයි ප්‍රකාශයක් නොවේ.

පිටත තෝරක ඇතුළත ගේට්වේ නම් කරයි

මෙතැනදී තමයි එවැනි ඉදිකිරීම් බොහොමයක් අසාර්ථක වන්නේ. ප්‍රතිපත්ති පාදක පිටත උමගක් සඳහා, ඔබ සාකච්ඡා කරන තෝරකවල A සහ B සැබවින්ම හසුරුවන ලිපින තිබිය යුතුය: 10.60.0.2/32 සහ 10.70.0.2/32, නිවැරදි දේශීය සහ දුරස්ථ අනුපිළිවෙලින්.

අවසාන යෙදුම් උපජාල පිටත තෝරකවල තැබීම ක්‍රියා නොකරයි, මන්ද පැකට්ටුව A වෙත ළඟා වන විට ඇතුළත ආවරණය A ආරක්ෂා කළ යුතු දේ දැනටමත් නැවත ලියා ඇත. එවිට පිටත ප්‍රතිපත්තිය කිසිවකට නොගැළපෙන අතර උමග දත්ත රහිතව ඉහළ යයි.

පිටත අවසරය UDP 500 දක්වා පටු නොකරන්න. ඇතුළත සම්බන්ධතාවයට තමන්ගේම දත්ත මාර්ගයක් ඇත, එය සාකච්ඡා කළ දේ අනුව ESP හෝ UDP ආවරණය භාවිත කරයි, සහ පිටත ප්‍රතිපත්තිය එම ප්‍රොටෝකෝලයට අවසර දිය යුතුය.

සෑම ගේට්වේයකම swanctl --list-sas සමඟ ප්‍රතිඵලය පරීක්ෂා කර, ළමා ආරක්ෂක සබඳතා ඔබ අදහස් කළ ලිපින වාර්තා කරන බව, ඔබ උපකල්පනය කළ ඒවා නොව, තහවුරු කරන්න. ලැයිස්තුව යෙදුම් උපජාල පෙන්වන්නේ නම්, පිටත ප්‍රතිපත්තිය වැරදි ස්ථරය සඳහා ලියා ඇත. මාර්ග නිර්දේශනය ඩීබග් කිරීමට පෙර තෝරක නිවැරදි කරන්න, මන්ද මාර්ග නිර්දේශනය හොඳින් පෙනෙන අතර ගණක චලනය නොවේ.

බලාත්මක කිරීම සහ පුනරාවර්තන උගුල

තෝරක මාර්ග නිර්දේශනය වෙනුවට නොපවතී. A සහ B කළ යුත්තේ C සහ D අතර ගමන් දෙපැත්තටම බලාත්මක කිරීමයි, එනම් IP බලාත්මක කිරීම සක්‍රීය, උමග දෙසට යොමු වන මාර්ග, සහ අනෙක් පැත්තේ පවතින ආපසු මාර්ගයක්.

පිටත උමග XFRM අතුරුමුහුණත් භාවිත කරන්නේ නම්, මාර්ග අතුරුමුහුණත තෝරන අතර සාකච්ඡා කළ ප්‍රතිපත්ති තවමත් එය ගෙන යන දේ සීමා කරයි. අතුරුමුහුණතක් ආරක්ෂිත ප්‍රදේශය පුළුල් නොකරයි; එය කර්නලය පැකට්ටුව ගන්නා ආකාරය පමණක් වෙනස් කරයි.

උගුල පුනරාවර්තනයයි. B හි පිටත අන්ත ලක්ෂ්‍යයට A හි මාර්ගය A ගොඩනඟන උමග නොව පහළ ජාලය අනුගමනය කළ යුතුය, නැතහොත් ආවරණය තමන් තුළම ගමන් කිරීමට උත්සාහ කර සම්බන්ධතාවය කිසිදා සම්පූර්ණ නොවේ.

ස්ථර එකතු කිරීමට පෙර පරිවර්තනය පරීක්ෂා කරන්න

වෙනත් ඕනෑම දෙයක් සකස් කිරීමට පෙර A සහ B හි ඕනෑම මූලාශ්‍ර NAT එකක් බලන්න. IPsec ප්‍රතිපත්තිය යෙදීමට පෙර C හි ලිපිනය නැවත ලියන රීතියක් එකඟ වූ තෝරක බිඳ දැමිය හැක, සහ D අනෙක් පැත්තේ ලබන දේ ද වෙනස් කළ හැක.

ස්ථර දෙකක් තිබීම නිසා පුළුල් වෙස්මුහුණු කිරීම වඩාත් ආරක්ෂිත නොවේ. එය දුර පැත්ත දකින ලිපිනය සඟවයි, සහ උමග සක්‍රීයව තිබියදී යෙදුම නොමැති විට අවශ්‍ය වන්නේ හරියටම එම තොරතුරුය.

NAT රීතියක් ඇත්තටම අවශ්‍ය නම්, සෑම පැත්තක්ම කුමන ලිපිනයක් සමඟ කතා කරන බව සිතන්නේ ද යන්න ලියන්න. එම එක් පේළියම උමගද පරිවර්තනයද වරදකරු යන තර්කයේ බොහොමයක් විසඳයි. වසරකට පසු රීතිය ඉවත් කරන විට ඊළඟ ඉංජිනේරුවාට කොහෙද බලන්නේ ද යන්නද එය පවසයි. පිං එයින් කිසිවක් නොකරනු ඇත.

fail-closed සාධනය කර MTU පරීක්ෂා කරන්න

මාර්ගයක් අතුරුදහන් වීමම fail-closed ප්‍රතිපත්තියක් නොවේ. වෙනත් වගුවක්, පෙරනිමි මාර්ගයක් හෝ ප්‍රතිපත්ති රීතියක් නිහඬව විකල්පයක් සැපයිය හැක, සහ එය දැනගැනීමට ඇති එකම ක්‍රමය පිටත උමග පහත් කර යෙදුම් ගමන් කරන්නේ කුමක්දැයි නිරීක්ෂණය කිරීමයි. අහම්බෙන් සොයාගැනීම වෙනුවට නඩත්තු කවුළුවක හිතාමතාම එය කරන්න.

තත්ත්ව තුනක් පරීක්ෂා කරන්න: පිටත උමග පහළ, ඇතුළත උමග පහළ, සහ දෙකම ආපසු පැමිණි පසු ප්‍රතිසාධනය. සෑම ගේට්වේයකම ප්‍රතිපත්ති ගණක භාවිත කරන්න, මන්ද ස්ථාපිත IKE සැසි දෙකක් සාධනය කරන්නේ පාලන තලයේ සාකච්ඡාව සාර්ථක වූ බව පමණි.

ආවරණ දෙකටම අයවැය වෙන් කරන්න. ක්‍රියාත්මක IKE යනු කුඩා පැකට්වල ප්‍රතිඵලයකි, සහ ශීර්ෂක දෙකක් එකතු වූ පසු සම්පූර්ණ ප්‍රමාණයේ යෙදුම් පැකට් තවමත් අසාර්ථක විය හැක; සංඛ්‍යා එකතු වේ යැයි උපකල්පනය කිරීම වෙනුවට සැබෑ මාර්ගයේ දන්නා ගෙවුම් ප්‍රමාණයක් සමඟ පරීක්ෂා කරන්න. ගණිතය පහසුය, මාර්ගය නොවේ.