IPsec ESP: waxa uu qaado iyo sida loo caddeeyo in uu qulqulayo

ESP waxa uu qaadaa taraafikada VPN IPsec ah, runbook-keeduna waxa uu ku bilaabmaa hal sharci: akhri isku-xirka amniga ka hor inta aadan beddelin siyaasad. Inta badan hab-dhaqanka ESP ee aan la sharraxin waxa uu dib ugu noqdaa dooro aan is waafajin, qaab la mala-awaalay halkii la akhriyi lahaa, ama tirakoob aan cidina hubin markii hal qulqul la dirayay. Saddexda tallaabo ee hoose waxay caddeeyaan waxa waxa qaado, waxay caddeeyaan in hal qulqul uu isticmaalo, waxayna ka tagaan dib-u-noqosho aan ku tiirsanayn xusuusta. Tallaabo kastaa waxay bixisaa hal indho-indheyn oo istaahil qorista.

Ogow goobaha ka hor inta aadan akhrin

ESP waxa uu madax dhigaa xogta la ilaaliyay horteeda iyo dabagal gadaasheeda. Madaxu waxa uu qaadaa tilmaame cabbir ammaan oo qeexaya isku-xirka ay tahay in qaataha isticmaalo, lambar taxane ah oo lagu ogaado ku-celinta, iyo dabagalka buuxin ka dhigta culayska mid siman ee sirta. Goobta madaxa xiga ee dabagalku waxay sheegtaa waxa ku jira nuxurka la ilaaliyay, sidaasna qaataha uu u ogaado waxa uu ka soo saaray duubka.

Qaabku waxa uu beddelaa waxa ku jira ilaalintaas. Qaabka tunnel-ka materjal la ilaaliyay waa baakad IP gudaha oo buuxa, madax cusub oo dibadda ahna waxa uu u qaadaa inta u dhaxaysa labada daraf. Qaabka gaadiidka ilaalintu waxay duubtaa culayska lakabka sare ee baakad hore u jiray, sidaas darteed ma jiro madax IP labaad oo la furo. Qaabka la isticmaalayo waa xaqiiqo qaabeynta, ma aha arrin fasiraad. Ka akhri gelinta xaaladda halkii aad ka malayn lahayd jaantus.

Midkoodna qaababka ma qariyo cinwaanka dibadda ee ay tahay in baakadku gaarsiiyo. Taasi waa sifo naqshadeed, ma aha cillad, sababtaas darteedna goob-jooge dhexe weli waxa uu arki karaa labada cinwaan ee wada hadlaya xitaa marka culaysku aanu muuqan.

Tallaabada koowaad: akhri xaaladda, ka dibna siyaasadda

Gelinta xaaladdu waxay haysaa furayaasha iyo tirakoobka; gelinta siyaasaddu waxay haysaa doorayaasha go'aamiya cidda loo ogol in ay isticmaasho. Linux gudihiisa labaduba way muuqdaan iyada oo aan baakad la qaban, akhrinta habkaasna waxay kala hayaa labada su'aalood.

ip xfrm state
ip xfrm policy

Soo-saarka xaaladda, hubi isha iyo meesha isku-xirka, qaabka, iyo in duubku muujinayo dekedaha UDP. Dekedahaas waxay ka dhigan yihiin in la isticmaalayo gudbinta NAT, taas oo beddesha waxa ay tahay in derbiga dabka dhexe oggolaado, laakiin ma aha doorayaasha ama furayaasha khuseeya darafyada.

Ka dibna akhri doorayaasha siyaasadda. Dooraha sheegta horgale cidhiidhi ah oo ka yar taraafikada aad tijaabinayso waa sababta ugu caansan ee tunnel shaqeeya uu ugu ekaado mid iska indhatiraya qulqul, doorahana borotokool khaldan wuxuu bixiyaa aamusnaan isku mid ah.

Qalabka iibiyayaashu waxay daabacaan isla macluumaadka qaab sahlan. ipsec statusall strongSwan waxa uu taxaa isku-xirka carruurta, doorayaashooda iyo tirakoobka baytiga, taas oo inta badan ka dhaqso badan akhrinta soo-saarka xfrm ceyriin marka aad hore u taqaan carruurta la fiiriyo.

Tallaabada labaad: caddee in hal qulqul uu dhaqaajiyo tirakoobka

Tirakoobku macne ma leh ilaa aad taqaan waxa ay ahayd in uu dhaqaajiyo, marka dooro isha iyo meesha uu doorahu hubinayo in uu daboolo oo dir codsi aan waxyeello lahayn. Ka dibna mar labaad akhri isla gelintaas oo isbarbardhig.

ip -s xfrm state
tcpdump -ni any esp

Laba akhris waxay sheegaan sheekooyin kala duwan. Baakadaha ku kordha dhinaca baxa laakiin aan marnaba ku kordin dhinaca soo-gelaya waxay tilmaamaan dhibaato gudbin ama waddo-soo-noqosho ah, ma aha dhibaato fure, sababtoo ah baakadka waa la duubay oo wuu baxay. Haddii aan tirakoobna dhaqaaqin, taraafikadu marnaba kuma habboonayn siyaasadda, oo dooraha waa meesha la fiiriyo.

Qabashada isla tallaabadaas waxay xaqiijinaysaa duubka siligga, oo ay ku jirto in baakadaha dibadda ay yihiin ESP ama ESP lagu duubay UDP. Waxa kale oo ay ku tusaysaa cinwaannada runtii qaaday qulqulka, kuwaasna mararka qaarkood way ka duwan yihiin kuwa qaabeynta aad akhrinaysay.

Tallaabada saddexaad: beddel hal shay oo hayso dib-u-noqosho

Qor isha, meesha, qaabka, doorayaasha iyo tirakoobka isku-xirka ka hor inta aadan wax tafatirin. Haddii isbeddel wax uga sii daro, qoraalkaas ayaa kuu ogolaanaya in aad soo celiso xaaladdii hore halkii aad ka dib u dhisi lahayd qaabeyn shaqaysa oo mala-awaal ah. Qoraalku wuxuu qaataa hal daqiiqad oo badbaadiyaa saacad ka dib. Waa sidoo kale qaybta kaliya ee ka hadha qofka isbeddelka sameeyay.

Beddel hal dooro ama hal cabbir, dib u rartii, oo ku celi tallaabada labaad isla qulqulka. Tirtirista isku-xirku waxay dumisaa qulqul kasta oo isticmaala, sidaas darteed tafatir bartilmaameed ah iyo dib-u-raridda carruurtu inta badan ka wanaagsan yihiin in xaaladda la faaruqiyo si loo arko waxa dhacaya.

Dib-u-noqoshada tafatirka doorahu waa soo celinta siyaasaddii hore iyo dib-u-rariddeeda, iyada oo shardiga ah in dhinaca kale uu u baahan karo isbeddel u dhiganta haddii dooraha laga wada hadlayo ee aanu gudaha ahayn. Qor ku-tiirsanaantaas inta ay cusub tahay, sababtoo ah lammaane badhkiis la soo celiyay ayaa ka adag in laga fikiro mid kasta oo labada xaaladood ee ugu dambeeya.

Ugu dambayn, hayso baaxadda si daacad ah. Isku-xirka ESP qulqulaya waxa uu caddeeyaa in labada gateway ay ilaalinayaan oo gaarsiiyaan qaybta, waxna ma sheegto ku saabsan in barnaamijka kore uu xaqiijinayo isticmaalayaashiisa ama uu sireeyo waxa uu kaydiyo. Kuwaasi waa kontaroolo gaar ah oo leh caddaymo gaar ah, runbook-kuna wuu dhammaadaa oo kaliya marka qofka xiga uu ka celin karo qoraallada.