Priechod IPsec domácim routerom: čo skutočne robí

Prepínače priechodu na routeri sú ústupky v preposielaní pre zariadenie za nimi, nie VPN služby. Nezapisujú router ako klienta, nedržia prihlasovacie údaje a neženú každé zariadenie v domácnosti cez vzdialený výstup. Robia to, že formujú, ako jeden protokol prechádza prekladom adries a filtrami. Keď je to jasné, prepínač sa dá ľahko otestovať a ľahko nechať vypnutý.

Čo router skutočne robí

Router stojí medzi klientom a partnerom IPsec a preposiela pakety, ktorým nikdy nebol navrhnutý rozumieť. Výrobcovia funkciu implementujú aspoň tromi spôsobmi: pomocník protokolu, ktorý sleduje alebo prepisuje stav; výnimka vo filtri, ktorá zastaví zahadzovanie ESP; alebo režim kompatibility pre starších klientov. Popis v webovom rozhraní málokedy povie, ktorý z troch máte. Povedia to len poznámky k firmvéru alebo zachytenie paketov.

Pomocník môže veci aj zhoršiť. Pomoc napísaná pre starší tok niekedy prekáža klientovi, ktorý už preklad zvláda správne. Keď moderný klient funguje s vypnutou voľbou, nechať ju vypnutú je lepšia konfigurácia.

Priechod nikdy nedá routeru kľúče partnerov. Stále vidí vonkajšie adresy a porty a stále na ne uplatňuje vlastnú politiku preposielania.

NAT a NAT-T rozhodujú o ceste

IPsec nebol stavaný tak, aby prežil preklad adries, preto štandardy pridali obal. NAT traversal zapuzdruje ESP do UDP, takže bežná NAT tabuľka unesie tok, a vyjednávanie sa na tomto prepnutí dohodne počas IKE (RFC 3948). Samotné IKE používa UDP 500, zatiaľ čo zapuzdrená cesta zvyčajne používa UDP 4500.

Preto pravidlo firewallu povoľujúce len protokol 50 na preloženej ceste nestačí. Blokovanie 4500 rozbíja prípad, pre ktorý obal existuje, a blokovanie 500 zastaví vyjednávanie skôr, než vznikne akýkoľvek tunel. Oba smery sú dôležité, pretože router so stavom zvyčajne povolí odpoveď až po tom, čo videl požiadavku. Dosiahnuť port nie je to isté ako dokončiť overenie, ani ako preposlať chránenú prevádzku.

Staršie usporiadania sa líšia natoľko, že návod pre ne napísaný môže zavádzať. Keď klient ponúka oba režimy, testujte ten, ktorý dokumentuje váš partner, a nie ten s viac výsledkami hľadania.

Nájdite zlyhávajúcu fázu

Rozdeľte problém na vyjednávanie, overovanie, ochranu potomka a vnútorné preposielanie a potom zbierajte dôkazy pre jednu fázu naraz. Reštart, ktorý výsledok dočasne zmení, dokazuje len to, že išlo o nejaký stav.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Zachytenie ukáže, či výmena dorazí k partnerovi a či sa odpovede vracajú, čo oddelí problém filtrovania od problému prihlasovacích údajov. Zoznam stavov ukazuje nadviazané bezpečnostné asociácie, takže prázdny zoznam po pokuse ukazuje na vyjednávanie, nie na smerovanie. Zoznam politík ukazuje, ktoré selektory sú nainštalované, a práve tam sa cieľ mimo podsiete vylúči. Prečítajte oba výstupy xfrm, než sa dotknete routera, pretože opisujú, čo si myslí hostiteľ, a nie čo router povoľuje.

Ak pakety odchádzajú a nič sa nevracia, presuňte zachytenie na stranu WAN routera. Porovnanie oboch zachytení lokalizuje zahadzovanie bez hádania.

Vypnite, čo nepotrebujete

Jeden fungujúci notebook nedokazuje, že router obslúži niekoľko klientov naraz. Každý klient vytvára vlastný stav prekladu a vlastné vyjednávanie a niektoré pomocníky sledujú len jeden tok. Otestujte počet súbežných relácií, ktorý skutočne potrebujete, zo sietí, ktoré skutočne používate. Ak druhý klient zlyhá, kým prvý prosperuje, to je zistenie, nie nestabilný tunel.

Nechajte voľbu zapnutú len vtedy, keď zachytenie ukáže, že je potrebná. Zapíšte verziu firmvéru vedľa výsledku, pretože toto správanie sa medzi vydaniami mení. Cieľom je klientsky tunel, ktorý ste overili, nie prepínač zapnutý s nádejou.