ESP baxa oo jawaab la'aan ma tilmaamayo in VPN-ku dhintay
ESP waxay ilaalisaa hal jiho marka loo eego isku xirka oo waxba ma xaqiijiso. Isku dubarid wada hadalka gudaha iyo SA-ga soo galaya ka hor intaadan server-ka u sheegin mid aan jawaab celin.
Waxaad qabatay taraafikada martigeliyaha IPsec, aragtay baakadaha ESP oo baxaya, ma arag wax soo noqda, oo waxaad go'aansatay in dhinaca fog uu xumaaday. Qabashada taasi ma taageerto go'aankaas. ESP waxay ilaalisaa hal jiho oo wada hadal ah oo waxba kama xaqiijiso heerka IP, sidaas darteed ESP-ga soo noqda oo maqan wuxuu si fudud u macneyn karaa in barnaamijku wax uu yiraahdo ma haysan, sida uu u macneyn karo in tunnel-ku dhintay. Akhri isweydaarsiga gudaha iyo xaaladda dhinaca qaata ka hor intaadan eedayn labada daraf.
Halyeey: baakad kasta oo la ilaaliyay jawaab buu helaa
ESP ma aha borotokool codsi-jawaab. Wuxuu qariyaa oo xaqiijiyaa waxa siyaasadu doorato, qaataha wuxuu ansixiyaa, furfuraa oo gaarsiiyaa baakadaas gudaha isagoo aan iskiis u abuurin baakad. Su'aal UDP oo meesha loo socdo ay iska indhatirto, ama dhawaaq ICMP oo siyaasadda soo gasha ay tuurto, waxay labada jiho ka dhigaan aamusnaan natiijada saxda ah. U qaadashada aamusnaantaas inay tahay cilad gaadiid ayaa kuu diraysa raadinta cilad shabakadeed oo aan weligeed jirin.
Waxa qabashada hal jiho ah dhab ahaan caddayso ayaa ah in stack-ka diraha uu wax qariyay goobtaas indha-indheynta. Waxna kama sheegto imaanshaha, waxna kama sheegto ujeeddada jawaabta. Su'aasha faa'iidada leh ma aha „maxaa jawaab la'aan ah“ laakiin „maxaa wada hadalka gudaha ah sii dhalin lahaa“.
Laba SA, laba SPI, hal wada hadal
Isku xirka amniga IPsec waa hal jiho, sidaas darteed isweydaarsi caadi ah oo la ilaaliyay wuxuu socodsiiyaa isku xir soo gala iyo isku xir baxa oo leh aqoonsiyo gooni ah iyo xaalad madax banaan. Ka raadinta taraafikada soo noqota SPI-ga baakada baxa sidaas darteed waa khalad qayb, sababtoo ah jawaab kasta waxay socotaa hoos SA-ga baxa ee lammaanaha oo leh SPI u gaar ah. Beddelkeeda ku lammaani labada iyadoo lagu saleynayo doorayaasha taraafikada iyo cinwaannada lammaanaha.
Beddelka furaha wuxuu mugdi geliyaa sawirka dhowr ilbiriqsi, maadaama xaaladda hore iyo tan beddelka ay is dulsaaran karaan. Haddii calaamaddu ay bilaabatay agagaarka beddelka furaha, ururi aqoonsiyada isku xirka iyo calaamadaha waqtiga wada, ee ma aha oo kaliya magaca xiriirka.
Waxa qaataha ay tahay inuu sameeyo ka hor inta wax jawaabaan
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Saf kastaa si madax banaan ayuu u guuldareystaa oo cilad kastaa waxay leedahay milkiile kale, taas darteed hal qabasho ma kala sooci karto. Tirakoobka soo galku waa caddaynta tooska ah ee kaliya ee imaanshaha, sababtoo ah baakad ku guuldareysta xaqiijinta ama hubinta ku celinta waa la tuuraa iyada oo aan jawaab la helin. Lammaanaha tirakoobkiisa soo galku aan dhaqaaqin sidaas darteed wax macluumaad ah kama bixiyo siyaasaddiisa.
Gaarsiintu waa tallaabo ka duwan furfurista. Xaaladdu waxay noqon kartaa mid ansax ah oo baakadka wali mar dambe lagu tuuri karo siyaasad soo gasha ama waddo aan ku darin meesha loo socdo gudaha, sidaas darteed hubi in martigeliyaha bartilmaameedku uu arkay qoraal cad halkii aad ka fikiri lahayd in tirakoob nadiif ahi macneheedu yahay baakadku wuxuu aaday meeshii aad rabtay.
ESP asalka ah ma aha UDP
ESP asalka ah waa borotokoolka IP 50, kaas oo aan ahayn TCP ama UDP oo aan lahayn wax dekedo ah. Sidaas darteed sharci derbi dab ah oo u oggolaanaya IKE UDP 500 waxba kama sheego waddada xogta, shaandheyn ku qoran hareeraha dekedaha waxay u oggolaan kartaa tunnel-ka inuu gorgortamo ka dibna tuuro wax kasta oo gudaha lagu qaado. Tijaabi waddada xogta si gooni ah, qaabkii aad dhab ahaan u fiirsatay.
NAT-ka gadaashiisa qaabku wuu is beddelaa: xamuulka la ilaaliyay wuxuu socdaa gudaha UDP, badanaa dekedda 4500, sida RFC 3948 qeexayso. Diiwaangeli qaabka firfircoon ka hor intaadan qorin sharci kasta, sababtoo ah qalab ku yaal waddada ayaa si gebi ahaan kale uga shaqeyn kara ESP asalka ah iyo ESP-ga UDP ku duuban, sanduuqyada dhexe qaarkood waxay u oggolaadaan mid waxayna tuuraan kan kale.
Akhri tirakoobyada ku saleysan dhacdadan
Martigeliyaha strongSwan, swanctl --list-sas wuxuu soo sheegaa tirakoobyada baakadaha iyo baytiga isku xir kasta labada jiho, taas oo ku filan in lagu kala saaro „weligeed ma iman“ iyo „yimid oo lama jawaabin“. Linux, /proc/net/xfrm_stat wuxuu tiriyaa guuldarrooyinka la ururiyay sida xaalad maqan, siyaasad maqan iyo khaladaadka borotokoolka. Wadarahaas waxay soo ururaan tan iyo boot-ka waxayna ka tirsan yihiin hal meel magac shabakadeed, sidaas darteed tiro weyn ma aha tilmaan.
Qaado laba akhrin oo ku wareegsan daaqadda dhacdada meesha magaca saxda ah oo is barbardhig farqiga, haddii kale waxaad khaladaadka toddobaadkii hore ku dhejin doontaa tikidhka galabta. Ku qor meesha magaca iyo labada calaamadood ee waqtiga tikidhka si akhristaha xiga uu u soo saari karo isbarbardhigga halkii uu ku kalsoonaan lahaa wadar.
Magacow marxaladda, ee ma aha tuhmanaha
Gunaanad faa'iido leh wuxuu sheegaa halka baakadku ku istaagay: weligeed lama helin, la helay oo la tuuray, la gaarsiiyay laakiin jawaab la'aan, ama la jawaabay oo lumay jidka soo noqoshada. Mid kasta oo ka mid ah wuxuu tilmaamayaa milkiile kale iyo amar kale oo xiga. „Jawaab kama timaado server-ka VPN“ wuxuu afar ciladood oo kala duwan ku ururiyaa hal jumlad oo qabashadu weligeed aan qiil u dhigan.
Qabashooyinka ku hay cidhiidhi, xaaladda kernel-ka ceyriin ka fogee tikidhada, sababtoo ah waxay qaadi kartaa maaddo fureed oo aan ahayn inay ka tagto martigeliyaha. Farqiga tirakoobyada iyo calaamadaha waqtiga ayaa ah qaybaha istaahila in loo gudbiyo qofka xiga.