SA carruurta IPsec waa kacsan tahay, laakiin tirinta baakadaha waa eber

Waad kiciyay tunnel-ka, tirtiraha dib-u-furista ayaa hoos u tirinaya, labada jiho-na wali waxay akhrinayaan eber baakad. Midna ka mid ah labadaas tiro ma sheegayso in saaxiibku diiday tunnel-kaaga: CHILD SA oo rakiban oo leh tirooyin aan shaqayn waa xaaladda caadiga ah ee urur aan waxba wali la helin. Shaqadu waa in la caddeeyo in baakad ay ahayd in la helo, ka dibna la helo barta uu ka baxay waddada ay xulayaashu qeexaan. Hal mar samee, si nidaam ah, oo codsiga u dhig mid isku mid ah inta u dhaxaysa orodyada.

Tirinta eber waxay run ahaantii caddaynaysaa maxay

CHILD SA waa lammaane xulayaal iyo furaha iyo SPI ee sirteeya taraafikada ku dhaca baaxooyinkaas. In la rakibo waxay kaliya ka dhigan tahay in labada saaxiib ay ku heshiiyeen baaxooyinkaas iyo furayaasha laga soo saaray; kernel-ku wuxuu hayn doonaa saacado iyada oo aan hal baakad imanayn. Marka su'aashu waligeed ma tahay tunnel-ku ma jiraa, laakiin in baakad kasta oo tijaabadaadu dirtay uu ku dhacay baaxooyinka labada saaxiib ay wada hadleen. Haddii midna aanu dhicin, tirintu waxay ahaanaysaa eber oo ururku wuxuu dhacaa isagoo aan la isticmaalin dhammaadka noloshiisa.

Farqigaas wuxuu beddelaa waxa aad marka hore baarayso. Soo jeedin la diiday, guuldarro xaqiijin ama IKE SA dhimanaya dhammaantood waxay ka soo muuqdaan log-ga ama liiska SA, ma aha eber aamusan. Tunnel si nadiif ah u wada hadlay oo haddana madhan ahaanaya wuxuu tilmaamayaa is-waafajinta, waddada ama asalka taraafikada tijaabada.

Dir qulqul aad qeexi karto ka hor inta aadan dirin

Dooro meel ku dhex taal subnet-ka la ilaaliyay oo fur xiriir cusub oo u socda; bog aad saacad ka hor soo rartay ayaa laga yaabaa inuu ka yimaado kaydka, jawaabta kaydka ahina waligeed ma taabato tunnel-ka. Ka dib qor afar qiime inta codsigu wali mala-awaal yahay: ciwaanka isha ee abka ku xirmi doono, meesha loo socdo, qoyska ciwaanka iyo magaca ama lammaanaha xulayaasha carruurta aad daawanayso. Diiwaankaas ayaa tirinta fidsan u beddela sheegasho la tijaabin karo.

Ciwaanka isha waa qiimaha dadku boodaan, waana isaga kan inta badan jebiya tijaabada. Laptop leh ciwaan silig, ciwaan Wi-Fi iyo ciwaan tunnel ayaa xirmi kara mid kasta oo ka mid ah iyadoo ku xiran raadinta waddada, kaliya mid ayaa ku dhex jiri kara baaxada la wada hadlay. Isticmaal qalab kuu ogolaanaya inaad isha xirto, sida ping -I 10.1.0.5 10.2.0.9 ama curl --interface 10.1.0.5, si baakadku si aamusan uusan u dooran ciwaan kale. Marka orodka xiran uu dhaqaajiyo tirinta oo kan aan xirnayn uusan dhaqaajin, waxaad heshay dhibaato waddo oo aan ahayn dhibaato IPsec.

Tirooyinka kee la akhriyo, oo xaggee bay deggan yihiin

Linux-ka ip -s xfrm state wuxuu daabacaa urur kasta isagoo wata sadar lifetime current: oo wadarta byte iyo wadarta baakad ay u gaar tahay SA-daas, ka dibna sadar stats: oo loogu talagalay dib-u-ciyaar iyo tirinta khaladaadka. Saaxiibka strongSwan swanctl --list-sas wuxuu daabacaa hal sadar in iyo hal sadar out carruur kasta oo rakiban, mid kastaa wuxuu ku dhammaadaa tirinta byte iyo tirinta baakad; qalabkii hore ee stroke waxay isla lammaanahaas u yaqaaniin bytes_i iyo bytes_o. Labada jiho si gooni ah u akhri, maxaa yeelay tan fidsan ayaa ah natiijada. In la isku daro waxay qarinaysaa isqalqalka aad raadineyso.

Labada aragti waa mid kasta urur, markaa dib-u-furin waxay rakibtaa lammaane SPI cusub oo saldhiggaagu wuxuu ku noqdaa eber iyada oo aan waxba jabin. Qor SPI-da aad daawanayso ka hor inta aanu tirtiraha dib-u-furistu shaqayn, haddii kale waxaad barbardhigi doontaa SA cusub iyo tiro hore. Haddii bixitaanku kordho iyadoo soo gelitaanku fidsan yahay, xulahaashu way is-waafajiyeen laakiin jawaabtu waligeed soo noqon, taas oo baaritaanka u wareejinaysa gudbinta saaxiibka iyo siyaasaddiisa. Dukumeentiga habaynta IKEv2 ee strongSwan wuxuu daboolaa wareegga nolosha SA carruurta iyo waqtiga dib-u-furinta ee ka dambeeya tirooyinkaas.

Barta indho-indheynta waa doorsoome ka duwan asalka baakadka. Qalabka adag ee la dhaafi karo wuxuu kordhin karaa tirinta ururka iyadoo qabashada software-ka ee interface-ka aysan waxba tusi jirin, maxaa yeelay baakadaha la dhaafay waxay boodaan jillaabta uu qabashadu ku fadhiisato, soo gelitaankuna si la mid ah ayuu u leexan karaa. Marka labaduba aanay isku raacin, isticmaal tirinta si aad uga jawaabto haddii wax la helay iyo qabashada si aad uga jawaabto sida baakadku u ekaa.

Waddada, xulayaasha iyo meesha baakadku ku dhashay

Isbarbar dhig saddex shay: waddada kernel-ku u doorto meesha aad u socoto, siyaasadda taraafikada u horseedda tunnel-ka, iyo lammaanaha xulayaasha ee carruurtu wada hadleen. ip route get 10.2.0.9 from 10.1.0.5 wuxuu magacaabaa interface-ka iyo isha uu kernel-ku isticmaali lahaa, taas oo inta badan aan ahayn lammaanaha aad u malaynayso. ip xfrm policy wuxuu tusaa shablonnada iyo xulayaasha gudaha lagu rakibay, halka swanctl --list-sas uu tusayo waxa saaxiibku ku heshiiyay. Raadin baakadka ka saarta interface-ka jireed marnaba ma gaaro siyaasadda, markaa tirintu ma dhaqaaqi karto.

Isku-heli la'aanta waxay timaadaa dhowr nooc oo tirinta ka muuqda isku mid. Meel IPv6 oo ka baxsan xulaha IPv4, ciwaan isha oo ka yimid subnet khaldan iyo siyaasad ka cidhiidhi ah carruurta dhammaantood waxay soo saaraan isla eber. Marka hore hagaaji sababta ugu cidhiidhiga badan, maxaa yeelay in xulaha la ballaariyo kaliya si tiro loo raro waxay beddelaa waxa tunnel-ku ilaalinayo.

Kadib waxaa jira asalka baakadka, dabin gateway u dhigto hawlwadeenkiisa. Taraafikada uu gateway-ku isagu soo saaro waxaa lagu barbar dhigaa siyaasadda bixitaanka, halka baakadka uu macmiil u gudbiyo lagu barbar dhigaa siyaasadda gudbinta, markaa ping ka yimaada sanduuqa wuxuu ku guulaysan karaa waddo aan macmiilna waligiis qaadan.

Hal isbeddel la noqon karo iyo warbixin ka badbaada dib-u-eegista

Beddel hal shay, ku celi codsi isku mid ah oo akhri isla tirinta. Nadiifinta dhammaan sharciyada firewall ama beddelka dhammaan xulayaasha hal mar waxay dhaqaajin doontaa tiro oo baabi'in doontaa caddaynta kuu sheegtay sababta. Haddii orodka labaad weli eber tusayo, waxaad tirtirtay hal mala-awaal halkii aad galabta khasaarin lahayd.

Ku qor natiijada qaab qof kale u soo saari karo: magaca carruurta, baaxooyinka la aqbalay, isha aad xirtay, meesha aad tijaabisay, jihada eber ku hadhay, iyo SPI-da aad akhrinayso. Jumladaas waxay kala saartaa urur aan cidna isticmaalin iyo abka fog ee helay taraafikada oo diiday. Dib u celi isbeddelka marka uusan dhaqaajin tirinta, oo hay diiwaanka; qofka xiga wuxuu ka bilaabmaa meesha aad joogsatay. Waxba tunnel-ka laguma qasbin in dib loo dhiso, taasina waa macnaha hubinta is-waafajinta ka hor inta aan la taaban habaynta.