Prehod IPsec na domačem usmerjevalniku: kaj v resnici počne

Prehodna stikala na usmerjevalniku so popustljivost pri posredovanju za napravo za njimi, ne storitve VPN. Usmerjevalnika ne vpišejo kot odjemalca, ne hranijo poverilnic in ne potiskajo vsake naprave v hiši skozi oddaljeni izhod. Kar počnejo, je oblikovanje tega, kako en protokol prečka prevajanje naslovov in filtre. Ko je to jasno, je stikalo lahko preizkusiti in lahko pustiti izklopljeno.

Kaj usmerjevalnik v resnici počne

Usmerjevalnik stoji med odjemalcem in partnerjem IPsec ter posreduje pakete, ki jih ni bil nikoli zasnovan razumeti. Proizvajalci funkcijo izvajajo na vsaj tri načine: pomočnik protokola, ki sledi ali prepisuje stanje; izjema v filtru, ki preneha zavračati ESP; ali način združljivosti za starejše odjemalce. Oznaka v spletnem vmesniku le redko pove, katerega od treh imate. To povedo le opombe vdelane programske opreme ali zajem paketov.

Pomočnik lahko stvari tudi poslabša. Pomoč, napisana za starejši tok, včasih moti odjemalca, ki prevajanje že pravilno obravnava. Ko sodoben odjemalec deluje z izklopljeno možnostjo, je boljša konfiguracija pustiti jo izklopljeno.

Prehod nikoli ne da usmerjevalniku ključev partnerjev. Še vedno vidi zunanje naslove in vrata ter še vedno na njih uporablja svojo politiko posredovanja.

NAT in NAT-T odločata o poti

IPsec ni bil zgrajen, da bi preživel prevajanje naslovov, zato so standardi dodali ovoj. NAT traversal zapakira ESP v UDP, kar omogoči običajni tabeli NAT, da nosi tok, in pogajanja se o tem preklopu dogovorijo med IKE (RFC 3948). IKE sam uporablja UDP 500, ovita pot pa običajno uporablja UDP 4500.

Zato pravilo požarnega zidu, ki dovoli le protokol 50, na prevedeni poti ne zadošča. Blokiranje 4500 pokvari primer, zaradi katerega ovoj obstaja, blokiranje 500 pa ustavi pogajanja, preden nastane kakršen koli tunel. Pomembni sta obe smeri, ker usmerjevalnik s sledenjem stanja običajno dovoli odgovor šele potem, ko je videl zahtevo. Doseči vrata ni isto kot dokončati preverjanje pristnosti, niti kot posredovati zaščiten promet.

Starejše ureditve se dovolj razlikujejo, da lahko vodnik, napisan zanje, zavede. Ko odjemalec ponuja oba načina, preizkusite tistega, ki ga dokumentira vaš partner, in ne tistega z več zadetki iskanja.

Poiščite stopnjo, ki odpove

Razdelite težavo na pogajanja, preverjanje pristnosti, zaščito podrejene povezave in notranje posredovanje, nato zbirajte dokaze za eno stopnjo naenkrat. Ponovni zagon, ki začasno spremeni rezultat, dokaže le, da je bil vpleten kakšen stan.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Zajem pokaže, ali izmenjava doseže partnerja in ali se odgovori vračajo, kar loči težavo filtriranja od težave s poverilnicami. Seznam stanj pokaže vzpostavljene varnostne povezave, zato prazen seznam po poskusu kaže na pogajanja in ne na usmerjanje. Seznam pravil pokaže, kateri izbirniki so nameščeni, in tam je izločen cilj zunaj podomrežja. Preberite oba izhoda xfrm, preden se dotaknete usmerjevalnika, ker opisujeta, kaj misli gostitelj, in ne, kaj dovoli usmerjevalnik.

Če paketi odidejo in se nič ne vrne, premaknite zajem na stran WAN usmerjevalnika. Primerjava obeh zajemov lokalizira zavrženje brez ugibanja.

Izklopite, česar ne potrebujete

En delujoč prenosnik ne dokaže, da usmerjevalnik streže več odjemalcem hkrati. Vsak odjemalec ustvari svoje stanje prevajanja in svoja pogajanja, nekateri pomočniki pa sledijo le enemu toku. Preizkusite število hkratnih sej, ki jih res potrebujete, iz omrežij, ki jih res uporabljate. Če drugi odjemalec odpove, medtem ko prvi uspeva, je to ugotovitev in ne nestabilen tunel.

Pustite možnost vklopljeno le, ko zajem pokaže, da je potrebna. Zapišite različico vdelane programske opreme ob rezultatu, ker se to vedenje spreminja med izdajami. Cilj je odjemalčev tunel, ki ste ga preverili, ne stikalo, vklopljeno z upanjem.