IPsec marinka router-ka guriga: waxa uu dhab ahaan qabto

Beddellada marinka router-ka waa tanaasulyo gudbin oo loogu talagalay qalabka ka dambeeya, ma aha adeegyo VPN. Kama diiwaangeliyaan router-ka macmiil ahaan, ma hayaan aqoonsiga, oo kama riixaan qalab kasta oo guriga ku jira bixitaan fog. Waxa ay qabtaan ayaa ah qaabaynta sida hal borotokool uga gudbo tarjumaadda ciwaannada iyo filtarrada. Marka taasi cad dahay, beddelka waa sahlan in la tijaabiyo oo sahlan in la daayo isagoo damisan.

Waxa uu router-ku dhab ahaan qabto

Router-ku wuxuu dhex fadhiyaa macmiil iyo lammaane IPsec, isagoo gudbinaya baakadaha aan waligood loo qorshayn inuu fahmo. Soo-saareyaashu waxay ku hirgeliyaan astaantan ugu yaraan saddex siyaabood: caawiye borotokool oo la socda ama dib u qora xaaladda, ka-tag-filter oo joojiya tuurista ESP, ama qaab iswaafaqid oo loogu talagalay macmiillada hore. Calaamadda ku taal wejiga web-ka ayaa dhif ah inay sheegto midka saddexda ah ee aad haysato. Kaliya qoraallada firmware-ka ama duubista baakadaha ayaa sheegi doona.

Caawiyuhu waxa uu sidoo kale ka sii dari karaa xaaladda. Caawimaad loo qoray qulqul hore ayaa mararka qaar farageliya macmiil horay si sax ah u maareeya tarjumaadda. Marka macmiil casri ah uu ku shaqeeyo ikhtiyaarka damisan, in la daayo isagoo damisan ayaa ah habaynta wanaagsan.

Marinku waligiis siin maayo router-ka furayaasha lammaanayaasha. Weli wuxuu arkaa ciwaannada iyo dekedaha dibadda, oo weli wuxuu ku dabaqaa siyaasaddiisa gudbin.

NAT iyo NAT-T ayaa go’aamiya wadada

IPsec looma dhisin inuu ka badbaado tarjumaadda ciwaannada, sidaas darteed heerarku waxay ku dareen duub. NAT traversal waxa uu ESP ku dhex daraa UDP, taasoo u oggolaanaysa shaxda NAT caadiga ah inay qaaddo qulqulka, oo gorgortanku wuxuu ku heshiiyaa beddelkaas inta lagu jiro IKE (RFC 3948). IKE laftiisu wuxuu isticmaalaa UDP 500, halka wadada duuban ay caadi ahaan isticmaasho UDP 4500.

Taasi waa sababta qaanuunka dab-damiska ee oggolaanaya kaliya borotokoolka 50 uusan ku filnayn waddo la tarjumay. Xannibaadda 4500 waxay jebisaa kiiska duubku u jiro, xannibaadda 500na waxay joojisaa gorgortanka ka hor inta aan tunnel la abuurin. Labada jihoobaa muhiim ah, sababtoo ah router-ka xaaladda la socdaa wuxuu caadi ahaan oggolaadaa jawaabta kaliya marka uu arko codsiga. Gaaritaanka deked ma aha mid la mid ah dhamaystirka aqoonsiga, mana aha mid la mid ah gudbinta taraafikada la ilaaliyay.

Habaynta hore way ku kala duwan yihiin si tilmaame loo qoray iyaga uu marin habaabiyo. Marka macmiilku bixiyo labada qaab, tijaabi kan lammaankaagu diiwaangeliyay ee ha tijaabin kan natiijooyin raadin badan leh.

Hel marxaladda fashilma

U qaybi dhibaatada gorgortan, aqoonsi, ilaalinta ilmo iyo gudbin gudaha ah, ka dibna ururi caddaymo hal mar hal marxalad. Dib-u-bilow si ku meel gaar ah u beddela natiijada wuxuu caddeeyaa oo kaliya in xaalad qayb ka ahayd.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Duubistu waxay muujinaysaa in isdhaafsigu gaaro lammaanka iyo in jawaabuhu soo noqdaan, taasoo kala soocda dhibaatada filtarka iyo dhibaatada aqoonsiga. Liiska xaaladdu wuxuu muujinayaa isku-xirnaanta amniga la aasaasay, sidaas darteed liis madhan oo isku-day ka dib wuxuu tilmaamaa gorgortan halkii uu tilmaami lahaa marin. Liiska siyaasaddu wuxuu muujinayaa doorashooyinka la rakibay, oo halkaas ayaa laga reebaa meel ka baxsan subnet-ka. Akhri labada soo-saar ee xfrm ka hor inta aadan taaban router-ka, sababtoo ah waxay qeexaan waxa martigeliyaha aaminsan yahay ee ma aha waxa router-ku oggolaado.

Haddii baakadaha baxaan oo wax soo noqon waayaan, u rar duubista dhinaca WAN ee router-ka. Isbarbardhigga labada duubis ayaa meesha tuurista ku ogaada iyada oo aan la qiyaasin.

Dami waxa aadan u baahnayn

Hal laptop oo shaqeeya ma caddeeyo in router-ku isku mar u adeego macmiillo badan. Macmiil kastaa wuxuu abuuraa xaaladdiisa tarjumaad iyo gorgortankiisa, oo qaar ka mid ah caawiyayaashu waxay la socdaan hal qulqul oo kaliya. Tijaabi tirada kalfadhiyada isku mar ah ee dhab ahaan u baahan tahay, laga bilaabo shabakadaha aad dhab ahaan isticmaasho. Haddii macmiilka labaad ku guuldareysto halka kan ugu horreeya uu barwaaqoobayo, taasi waa natiijada, ma aha tunnel aan degganayn.

Kaliya u daa ikhtiyaarka daaran marka duubistu muujiso inuu lagama maarmaan yahay. Qor nooca firmware-ka agtiisa natiijada, sababtoo ah dabeecadahan way is beddelaan inta u dhaxaysa sii-deynta. Hadafku waa tunnel macmiil oo aad xaqiijisay, ma aha beddel si rajo leh loo daarnaa.