XFRM අතුරුමුහුණත සමඟ මාර්ග පාදක IPsec ක්‍රියා කරන ආකාරය

මාර්ග පාදක IPsec මාර්ගගත කිරීමේ වගුවට පෙර ප්‍රතිපත්ති තෝරකයින් ගත් තීරණයක් ලබා දෙයි. Linux හි මෙය හැකි කරන කොටස XFRM අතුරුමුහුණතයි: තෝරකයක් වෙනුවට අතුරුමුහුණත් හඳුනාගැනීමක් මගින් එහි ගමන් ප්‍රවාහය IPsec තත්ත්වය සමඟ ගැලපෙන අතථ්‍ය උපාංගයක්. එකක් සෑදීමට එක් විධානයක් ගත වන අතර උමං මාර්ගයක් තිබේද යන්න ගැන කිසිවක් ඔප්පු නොකරයි. උපාංගය මාර්ගගත කිරීම සහ ආරක්ෂක ප්‍රතිපත්තිය අතර ඇති කොක්කක් වන අතර, යමක් ආරක්ෂා වීමට පෙර එම කොක්කේ දෙපැත්තම වින්‍යාස කළ යුතුය.

උපාංගය යනු කුමක්ද සහ කුමක් නොවේද

XFRM අතුරුමුහුණත යනු මාර්ගගත කිරීමේ හසුරුවකි. එයට මාර්ගගත කරන ලද පැකට් එකම අතුරුමුහුණත් හඳුනාගැනීමට යොමු වන XFRM ප්‍රතිපත්ති සමඟ ගැලපේ, සහ ප්‍රතිපත්තියක් සහ තත්ත්වයක් දෙකම තිබේ නම් ඒවා කැප්සියුල කරයි. ඒවා නොමැතිව අතුරුමුහුණත පවතී, ගණක යන්ත්‍ර නිශ්චලව පවතී, සහ ගමන් ප්‍රවාහය ප්‍රයෝජනවත් නොවන තැනකට යයි.

මෙය පළමු රෝග නිර්ණය වෙන් කිරීමයි. උපාංගය තුළට යන මාර්ගය මාර්ගගත කිරීමේ කරුණකි, ස්ථාපිත තත්ත්වය ආරක්ෂක කරුණකි, සහ උපාංගයේ ඉහළ යන ගණක යන්ත්‍රය එම දෙකෙන් එකක්වත් නොවේ. අතුරුමුහුණත UP පෙන්වන නිසා උමං මාර්ගය ඉහළ ඇතැයි මිනිසුන් පවසන විට, තමන්ගේම සහකරු නොමැති අතථ්‍ය උපාංගයක සබැඳි කොඩි විස්තර කරති. කොඩියේ අර්ථය උපාංගය සාදා සක්‍රීය කරන ලදී යන්න පමණි.

තවත් සීමාවක්: අතුරුමුහුණත් හඳුනාගැනීම නමක් නොවේ. සමාන නම් සහ වෙනස් හඳුනාගැනීම් සහිත උපාංග දෙකක් තත්ත්වය බෙදා නොගනී, සහ වැරදි හඳුනාගැනීමකින් වින්‍යාස කළ සම්බන්ධතාවයක් කිසිදු මාර්ගයක් කිසිදා භාවිත නොකරන තත්ත්වයක් ස්ථාපනය කරයි.

නිවැරදි අනුපිළිවෙලින් එකක් සාදන්න

බාහිර උපාංගය සහ ඩීමන් වින්‍යාසයේද ඔබ තබන අංකයකින් ආරම්භ කරන්න. උදාහරණය බාහිර අතුරුමුහුණත ලෙස eth0 සහ හඳුනාගැනීම ලෙස 42 භාවිත කරයි, මේවා ඔබේම ලිපිනයන්ගෙන් ප්‍රතිස්ථාපනය කළ යුතුය.

උපාංගය ඉහළට ගෙනෙන්න, පසුව VPN වින්‍යාසය ස්පර්ශ කිරීමට පෙර කර්නලය වාර්තා කළ හඳුනාගැනීම තහවුරු කරන්න:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

දැන් strongSwan හි එම හඳුනාගැනීමම සමඟ සම්බන්ධතාවය වින්‍යාස කරන්න, මන්ද ඩීමන් එයට යොමු වන ප්‍රතිපත්ති සහ තත්ත්ව ස්ථාපනය කළ යුතුය. දේශීය සහ දුරස්ථ ගමන් ප්‍රවාහ තෝරකයින් ඔබ මාර්ගගත කිරීමට අදහස් කරන පරාසයට සකසා, පසුව එම පරාසය උපාංගයට මාර්ගගත කරන්න. ඩීමන් වින්‍යාසය සහ මාර්ගගත කිරීමේ වගුව හඳුනාගැනීම සහ ගමනාන්ත යන දෙකෙන්ම එකඟ විය යුතු අතර, කිසිවක් අනෙක ලබා නොදෙයි.

IKE සහ ESP උමං මාර්ගයෙන් බැහැර තබන්න

XFRM උපාංගයට යොමු වන පෙරනිමි මාර්ගය කැප්සියුල කළ පැකට් සහ ඒවා ගෙන යන ගමන් ප්‍රවාහය දෙකම අල්ලා ගනී. ප්‍රතිඵලය ලූපයකි: ගේට්වේ ESP විසින් තැනිය යුතු උමං මාර්ගය හරහා තම ESP යැවීමට උත්සාහ කරයි.

විසඳුම වන්නේ සහකරුගේ බාහිර ලිපිනය සඳහා වඩාත් නිශ්චිත මාර්ගයක් භෞතික අතුරුමුහුණත හරහා ය, එය වැඩි බිටු ගැලපෙන නිසා පෙරනිමිය පරාජය කරයි. උමං මාර්ග කිහිපයක් එක් වගුවක් බෙදා ගන්නා විට ලකුණු පාදක මාර්ගගත කිරීම එම කාර්යයම කරයි, සහ strongSwan මාර්ග පාදක යෙදවීම් සඳහා ප්‍රවේශ දෙකම ලේඛනගත කරයි.

ඔබ තෝරන කුමක් වුවත්, බාහිර පැකට් කැප්සියුල නොකර පිටවන බව තහවුරු කරන්න. ඉක්මන් පරීක්ෂාවක් නම් උමං මාර්ගය ඉහළ ගිය පසු සහකරුගේ බාහිර ලිපිනයට ping කිරීමයි; අතුරුමුහුණත ඉහළ තිබියදී එය අසාර්ථක වුවහොත් ළඟාවීමට වඩා අල්ලා ගැනීම සැක කරන්න. එම තර්කයම IKE වරායටද අදාළ වේ, මන්ද ඩීමන්ගේම UDP ගමන් ප්‍රවාහය එය ස්ථාපිත කිරීමට උත්සාහ කරන උපාංගයට මාර්ගගත නොවිය යුතුය.

සංකේතනයට දොස් පැවරීමට පෙර ස්ථාන දෙකක ගණක යන්ත්‍ර පරීක්ෂා කරන්න

අතුරුමුහුණත් ගණක යන්ත්‍ර සහ තත්ත්ව ගණක යන්ත්‍ර විවිධ අදියර මනිති. උපාංගයට මාර්ගගත කරන පැකට් කිසිදු තත්ත්වයක් නොගැලපුණත් උපාංගය වැඩි කරයි, නමුත් තත්ත්ව ගණක යන්ත්‍ර ඇත්තටම කැප්සියුල කළ ගමන් ප්‍රවාහයට පමණක් චලනය වේ.

දෙකම කියවන්න, පසුව දරු සම්බන්ධතාවය පිළිබඳ ඩීමන්ගේ දැක්ම කියවන්න:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

තත්ත්ව ප්‍රතිදානය හිස්ව තිබියදී උපාංග ගණක යන්ත්‍ර ඉහළ යාම යනු මාර්ගගත කිරීම ක්‍රියා කරන අතර ප්‍රතිපත්තිය නොගැලපෙන බවයි, සාමාන්‍යයෙන් හඳුනාගැනීම හෝ තෝරක දෝෂයක්. දුරස්ථ පැත්ත කිසිවක් වාර්තා නොකරන විට තත්ත්ව ගණක යන්ත්‍ර ඉහළ යාම යනු පැකට් පිටව ගියත් නොපැමිණෙන බව හෝ සත්‍යාපනය අසාර්ථක වන බවයි, එය මාර්ගය හෝ සහකරු වින්‍යාසය දෙසට යොමු කරයි. ශුන්‍ය ගමන් ප්‍රවාහයක් සහිත ලැයිස්තුගත දරු සම්බන්ධතාවය එක් කෙළවරක තෝරක ගැටලුවකි, කැඩුණු සයිෆරයක් නොවේ.

මාර්ග ස්ථාපනය කරන්නේ කවුරුන්ද යන්න තීරණය කරන්න

එක් මාර්ගගත කිරීමේ වගුවකට හිමිකරුවන් දෙදෙනෙක් සාමාන්‍යයෙන් සෙලවීමේ මූලාශ්‍රයයි. ඩීමන් මාර්ග ස්වයංක්‍රීයව ස්ථාපනය කරන්නේ නම්, ඔබේ ජාල කළමනාකරුද එම උපාංගය හරහා පෙරනිමි මාර්ගයක් ස්ථාපනය නොකළ යුතුය, සහ ආරම්භක ස්ක්‍රිප්ටය විසින් එකතු කළ අත්පොත මාර්ගය ඊළඟ වතාවේ ඩීමන් නැවත වින්‍යාස වන විට ඉවත් කරනු ලැබේ.

එක් හිමිකරුවෙකු තෝරා එය ලියන්න. මාර්ග ඩීමන් සතු වන විට, ආරම්භක ස්ක්‍රිප්ටය වගුවෙන් පිටත තබා සම්බන්ධතා අර්ථ දැක්වීමට ගමන් ප්‍රවාහ තෝරකයින් විස්තර කිරීමට ඉඩ දෙන්න. ඒවා ජාල කළමනාකරු සතු වන විට, ස්වයංක්‍රීය ස්ථාපනය අක්‍රීය කර නැවත සම්බන්ධ වන විට ඩීමන් අස්ථානගත මාර්ගයක් අලුත්වැඩියා නොකරන බව පිළිගන්න.

බලහත්තර කිරීම් සහ ගිනිපවුරු නීති මේ මත වෙනම තීරණයකි, මන්ද වෙනත් සත්කාරකවල ගමන් ප්‍රවාහය ගමන් කරවන ගේට්වේ එකකට දෙකම අවශ්‍යයි. මාර්ග පාදක IPsec එම ගමන් ප්‍රවාහය සාමාන්‍ය මාර්ගගත කිරීමේ මෙවලම්වලින් ප්‍රකාශ කිරීම පහසු කරයි; එය ප්‍රතිපත්ති ස්තරය අත්‍යවශ්‍ය නොවන එකක් නොකරයි.