Ma jiro tun0? Ku habee IPsec-ka la xalliyay nftables adigoo isticmaalaya meta ipsec

Waxaad filanaysaa interface tunnel, waad raadinaysaa, oo ma jiro wax ku habboon firewall-ka. Taasi waa caadi iridda ku salaysan siyaasadda: isdhaafsiga sirta ah wuxuu yimaadaa interface-ka jireed, baakadda gudaha ee la xalliyay oo markaa la gudbiyo ayaa sidoo kale la arkaa iyada oo imanaysa isla interface-kaas. Ma jiro tun0 sababtoo ah waxba ma abuurin.

Codsiga gudaha weli waa baakad gaar ah oo leh isha, bartilmaameedka iyo adeegga u gaar ah, kernel-kuna wuu ogyahay ururka amniga ee uu ka soo baxay. Aqoontaas ayaa ah waxa xeerka firewall-ku ku habbi karo.

Laba baakad, hal interface

Qiyaas jihada soo gasha. Baakad lagu duubay ESP ama UDP ayaa yimaada, kernel-ku wuxuu helaa siyaasadda u dhiganta, wuu xalliyaa oo baakadda cad u dhiibaa wadada gudbinta. Xeerka kaliya magaca interface-ka eegaa ma kala saari karo baakaddaas iyo hawlgal kale oo isla siliggaas ku yimaada.

Waxa lagu kala saaro waa macnaha wadada amniga ee soo gasha ee baakadda ku lifaaqan. nftables wuxuu u soo bandhigaa meta ipsec exists, taas oo run ah marka baakaddu ka timid wadada amniga IPsec. Ku dar ururka macaamiisha, bartilmaameedka iyo adeegga, xeerku wuxuu noqonayaa mid gaar ah oo ammaan ah.

Ka tagista macnaha waa khaladka caadiga ah, waana khalad ammaan ah oo ma aha mid qurxin. Xeerka aqbala wax kasta oo ka yimaada ururka macaamiisha ayaa si isku mid ah u aqbala baakad been abuur ah oo ka yimaada shabakadda gudaha, sababtoo ah cinwaanka isha keligiis ma aha caddayn wax. Macnaha wadada amniga waa habka ugu jaban ee isha macne leh looga dhigi karo. Ku qor xeerka isaga oo la socda bilowga, halkii aad ka dari lahayd ka dib hanti-dhawr.

Qor xeerka gudbinta

Ka soo qaad inuu jiro adeegga gelitaanka fog ee IPv4 la xaqiijiyay oo leh macaamiil ku jira 10.90.0.0/24 iyo hal bartilmaameed la ansixiyay oo ku yaal 203.0.113.40. Qeybta xeerka ee qulqulkaas waxay u eg tahay sidan.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

Cinwaannada iyo interface-ku waa tusaalooyin la beddelayo. Dhig isle'egta la dib u eegay ee siyaasadda gudbinta ka hor xeerka haddii kale diidi lahaa qulqulka, oo ha madhin jasiiradda xeerarka jira si aad u rakibto; iriddu ma aha tijaabo qol nadiif ah.

Erayga oifname waa mudan in la hayo. Waxay diiwaangelisaa go'aanka bixidda oo ka hortagtaa xeerka inuu ku habboonaado jihada aadan u jeedin, taas oo muhiim u ah iridda leh waddooyin badan oo internetka ah. Sanduuqa tijaabada ee leh hal xiriir kore eraygu wuxuu u muuqdaa mid xad-dhaaf ah, taasina waa sababta loo tirtiro ka hor inta sanduuqu helin xiriir labaad.

Oggolaanshaha isdhaafsiga dibadda waa gooni. Wadada gelitaanka iriddu waxay u baahan tahay dekadaha IKE iyo ESP ama duubista UDP ee ay dhab ahaan isticmaasho, oggolaanshahaasina waxba ma oggolaan baakadda la xalliyay ee gudaha. Labada isku qasidda waa habka tunnel shaqeeya uu ku dhamaado firewall gudbiya wax walba.

Macnaha soo gasha ma aha macnaha baxa

Isla qoyska tibaaxaha ayaa daboolaya jihada kale rt ipsec, kaas oo sharraxaya ururka amniga baxa ee baakaddu isticmaali doonto. Waxay ka jawaabtaa su'aal kale: ma aha halka baakaddan ka timid, laakiin haddii la ilaalin doono qeybteeda xigta.

Farqigaas waa muhiim iridda hal tunnel dhammaysata oo mid kale gudbisa isla waqtigaas. Baakaddu waxay iman kartaa iyada oo la xalliyay oo weli waa inay baxdo iyada oo sir ah, aqbalaadda kaliya macnaha soo gasha loo qoray waxna ma sheegto shuruudda baxa. Haddii siyaasaddu dalbato ilaalintaas, jasiiradda xeerarku waa inay muujisaa taas halkii ay ka qaadan lahayd in marin-ku maareyn doono.

Labada su'aal ku hay xeerar gooni ah si akhristuhu u arko midka la dhaqan gelinayo. Hal xeer caqli leh oo labadaba hubiya way adag tahay in la dib u eego oo aad bay u adag tahay in la saxo marka badhkiisa joojiyo isku habboonaanta. Laba xeer oo leh tiro-bixinno ayaa sidoo kale kuu sheegaya shuruudda fashilma, taas oo hal xeer isku dhafan waligiis samayn doonin.

NAT ma aha go'aan firewall

Trafikga internetka ee ka yimaada ururka macaamiisha gaarka ah badanaa wuxuu u baahan yahay turjumaad isha si jawaabtu u hesho wadada dib u soo noqoshada. Laakiin trafikga loo xushay siyaasad IPsec kale oo baxa waa inuu hayaa dhaafistiisa loo baahan yahay, iyo qarinista isha gaarka ah oo dhan iyada oo aan laga fikirin go'aanka ilaalinta xiga ayaa taas jebiya.

Aqbalaadda gudaha silsiladda NAT sidoo kale ma aha oggolaansho guud. NAT iyo shaandhaynta waxay leeyihiin shaqooyin kala duwan, silsiladda NAT-na ma baarto baakad kasta oo dambe oo qulqul dhisan, taasina waa sababta ku-tiirsanaanta ammaanka ay u soo saarto xeerar u muuqda kuwo shaqeeya tijaabada oo fashilma culeyska.

Kasoo horjeedka sidoo kale waa run oo dadka yaabiya: aqbalaad meel ku taal hal silsilad shaandhayn oo saldhig ah wax miisaan ah kama hayso diidmo dambe oo ku taal silsilad kale oo lagu dabaqo. Natiijada waxaa go'aamiya nidaamka iyo baaxadda silsiladda, ma aha jiritaanka aqbalaadda faylka.

Xaqiiji adeegga gudaha ee saxda ah

Tijaabi bartilmaameedka iyo dekedda gaarka ah ee aad oggolaatay, macmiil dhab ah, oo xaqiiji jawaabtu soo noqonayso. Ka dib tijaabi wax aadan oggolaan oo hubi inaanay gudbin, sababtoo ah xeer aad u ballaaran ayaa tijaabada koowaad u gudba sida xeer saxan. Codsi aan waligiis macmiilka ka bixin sidoo kale ma aha natiijada firewall, marka akhri tiro-bixinnada si aad u aragto haddii baakadda la qiimeeyay. Laba tijaabo iyo hal akhrin tiro-bixin ayaa kuu sheegaya wax ka badan duhur dhan oo xeerarka la akhrinayo.

Tixraaca nftables wuxuu diiwaangelinayaa meta ipsec, rt ipsec iyo tibaaxaha jihada gaar u ah, oo halkaas waa meesha laga hubiyo naxwaha marka la barbar dhigo nooca aad rakibtay. Oo baaxadda si cad u hay: kani waa tusaale IPv4, waxna ma sheegto IPv6, oo kama dhigto gudbinta dekedaha guud ee aan loo baahnayn qayb ka mid ah adeegga VPN.