IPsec gudaha IPsec: goobaha tummaallada banaanku waa inuu qaato

IPsec nested waa sahlan tahay in laga fikiro marka labada lakab ay ku dhammaadaan mashiinno kala duwan. Afar albaab, laba tunnel iyo hal su'aal oo go'aamisa in naqshaddu shaqeyso: maxay tunnel-ka banaanku runtii arkaa marka tan gudaha ay dhammaato baakadda? Ka jawaab taas oo doorashooyinka, waddooyinka iyo nidaamka xallinta dhibaatooyinka way soo raacaan. Haddii aad khaldanto, maalin baad ku qaadan doontaa inaad debug gasho tunnel teknikaal ahaan shaqeeya.

Qaabka afar albaab

Albaabada banaanka A iyo B waxay dhistaan tunnel-kii ugu horreeyay ee u dhexeeya labada goobood. A gadaashiisa waxaa ku yaal albaabka gudaha C oo leh ciwaanka gudbinta 10.60.0.2; B gadaashiisa waxaa ku yaal albaabka gudaha D oo leh ciwaanka gudbinta 10.70.0.2. Shabakadaha abka waxay ku nool yihiin C iyo D gadaashooda, iyo ciwaan kasta oo tusaalaha ku jira si ula kac ah iskuma dul saarna.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

Lakabyada u qaybin afar host waxay ka dhigan tahay in mashiin kastaa uu fuliyo hal xad. Hal host oo labada lakab wada shaqeeya waa inuu isku waafajiyo laba nooc oo siyaasad ah, laba shax oo waddooyin ah iyo laba nooc oo guul-darro ah hal mashiin, taas oo suurtogal ah oo aad u adag in la arko.

Lakab kastaa wuxuu ka qaadaa kaliya difaaciisa

C wuxuu u sir-gareeyaa D baakad ab. Natiijadu waxay cinwaan u tahay C ilaa D, taasina waa waxa gaadha A. Wax kasta oo ka dambeeya waxay ku xiran yihiin dib-u-qoraalkaas.

A wuxuu mar kale u sir-gareeyaa B. B wuxuu furfuraa lakabka bannaanka, wuxuu arkaa baakad ka timid C ilaa D oo u gudbiyaa isagoo weli sir ah. D wuxuu ka qaadaa difaaca gudaha oo keenayaa baakadda abka.

Sidaas darteed A iyo B waxay arkaan meelaha ugu dambeeya ee gudaha iyo xogtooda, laakiin ma aha dhinacyada furfura culeyska abka. Taasi waa sifo dhab ah oo naqshadda, ma aha sheegasho ah in C, D ama host-yada abku ay lagu kalsoonaan karo.

Doorashooyinka bannaanku waxay magacaabaan albaabada gudaha

Halkan ayaa inta badan dhismayaashan ku guul-darraystaan. Tunnel banaan oo ku salaysan siyaasad, doorashooyinka aad ka wada hadashaan waa inay ku jiraan ciwaannada A iyo B runtii maamulaan: 10.60.0.2/32 iyo 10.70.0.2/32, sida saxda ah ee maxalliga iyo fog.

Ku dhejinta subnet-yada abka ee ugu dambeeya doorashooyinka bannaanka ma shaqeyso, sababtoo ah marka baakadku gaaro A, isku-duubista gudaha waxay hore u qortay waxa A ay tahay inuu difaaco. Markaas siyaasadda bannaanku waxba kuma habboonaan doonto, tunnel-kuna wuu kori doonaa isagoo aan xog qaadin.

Ha ku xaddidin ogolaanshaha bannaanka UDP 500. Xiriirka gudaha wuxuu leeyahay waddo xog oo u gaar ah, oo isticmaasha ESP ama isku-duubid UDP iyadoo ku xiran waxa la wada hadlay, siyaasadda bannaankuna waa inay ogolaato borotokoolkaas.

Ku hubi natiijada swanctl --list-sas albaab kasta iyo xaqiiji in ururrada amni ee carruurtu ay soo sheegaan ciwaannada aad u jeedday, ma aha kuwa aad u qiyaastay. Haddii liisku muujiyo subnet-yada abka, siyaasadda bannaanka waxaa loo qoray lakab khaldan. Hagaaji doorashooyinka ka hor inta aanad debug waddooyinka, sababtoo ah waddooyinku way fiicnaan doonaan laakiin tiriyayaashu ma dhaqaaqaan.

Gudbinta iyo dabin-ka soo-noqoshada

Doorashooyinku ma beddelaan waddooyinka. A iyo B waa inay u gudbiyaan taraafikada C iyo D dhexdooda labada jiho, taas oo ka dhigan gudbinta IP oo shaqaysa, waddooyin tilmaamaya tunnel-ka iyo waddo soo-noqosho oo dhinaca kale ku jirta.

Haddii tunnel-ka bannaanku isticmaalo interface XFRM, waddooyinku waxay doortaan interface-ka halka siyaasadaha la wada hadlay ay weli xaddidaan waxa uu qaado. Interface ma ballaadhiyo waxa la difaacayo; waxay kaliya beddeshaa sida kernel-ku u qaato baakadda.

Dabinku waa soo-noqosho. Waddada A ee dhanka bannaanka B waa inay raacdo lakabka hoose, ma aha tunnel-ka A dhisayo, haddii kale isku-duubistu waxay isku daydaa inay ku dhex safarto nafteeda oo xiriirku waligiis ma dhammaado.

Baadh turjumaadda ka hor inta aanad ku darin lakabyo

Fiiri NAT kasta oo isha ah oo ku yaal A iyo B ka hor inta aanad wax kale habaynin. Qaanuunka dib-u-qora ciwaanka C ka hor inta siyaasadda IPsec ay dhaqan galin waxay jebin kartaa doorashooyinka la isku raacay, waxayna sidoo kale beddeli kartaa waxa D ka helo dhinaca kale.

Maaskaraynta ballaaran kama noqoto mid ammaan badan laba lakab awgeed. Waxay qarinaysaa ciwaanka dhinaca fog arko, taasina waa runtii macluumaadka aad u baahan tahay marka tunnel-ku shaqaynayo abkuna uusan shaqaynayn.

Haddii qaanuunka NAT runtii loo baahan yahay, qor ciwaanka ay dhinac kastaa u malaynayo inuu la hadlayo. Sadarkaas kaliya ayaa xalliya inta badan doodaha ku saabsan in tunnel-ka ama turjumaadda uu qaladka leeyahay. Waxay sidoo kale u sheegtaa injineerka xiga halka laga eegayo marka qaanuunka la tirito sannad ka dib. Ping wax kama qaban doono taas.

Caddee fail-closed oo hubi MTU

Waddo luminta keligeed ma aha siyaasad fail-closed. Shax kale, waddo caadi ah ama qaanuun siyaasad ayaa si aamusan u bixin kara beddel, iyo sida kaliya ee loo ogaado waa in la dejiyo tunnel-ka bannaanka oo la fiirsado waxa taraafikada abku sameeyo. Si ula kac ah u samee, daaqad gudahood, halkii aad si shil ah u ogaan lahayd.

Tijaabi saddex xaaladood: tunnel banaan hoos, tunnel gudaha hoos, iyo soo-kabasho ka dib marka labaduba soo noqdaan. Isticmaal tirtireyaasha siyaasadda albaab kasta, sababtoo ah laba kulan IKE oo la aasaasay waxay kaliya caddeeyaan in wada-hadalka heerka kontoroolku guulaystay.

Miisaaniyad u samee labada isku-duubid. IKE shaqeeya waa natiijada baakado yaryar, iyo baakadaha abka ee buuxa weli way guul-darrayn karaan marka laba madax lagu daro; kaga tijaabi cabbirka culeyska la yaqaan waddada dhabta ah halkii aad ka malayn lahayd in tirooyinku isku darsamaan. Xisaabtu waa sahlan tahay, waddadu ma aha.