Sida IPsec ku salaysan waddooyinka u shaqeeyo iyada oo la isticmaalayo interface XFRM

IPsec-ka ku salaysan waddooyinka waxa uu miiska waddooyinka siinayaa go'aan ay hore u qaadi jireen doorashooyinka siyaasadda. Linux, qaybta taas suurtogal ka dhigtaa waa interface XFRM: qalab macmal ah oo taraafikadiisa lagu barbardhigo xaaladda IPsec iyada oo loo marayo aqoonsiga interface-ka halkii doorasho. Mid abuurista waxay qaadataa hal amar oo waxba ma caddeyso in tunnel uu jiro. Qalabku waa jillaab u dhexeeya waddooyinka iyo siyaasadda amniga, labada dhinac ee jillaabkaasna waa in la habeeysto ka hor inta aan wax la ilaalin.

Waxa qalabku yahay iyo waxa uusan ahayn

Interface XFRM waa gacan waddooyin. Baakadaha lagu waddo geliyo waxaa lagu barbardhiga siyaasado XFRM oo tixraacaya isla aqoonsiga interface-ka, iyo haddii siyaasad iyo xaalad ay jiraan, waa la duubaa. Iyada oo aanay jirin, interface-ku wuu jiraa, tirooyinku way taagan yihiin, taraafikuna meel aan faa'iido lahayn buu tagaa.

Kani waa kala qaybinta koowaad ee baaritaanka. Waddada galaysa qalabka waa xaqiiqo waddo, xaaladda la rakibay waa xaqiiqo amni, iyo tirooyinka kor u kacaya ee qalabka midkoodna ma aha. Marka dadku yiraahdaan tunnel-ku wuu kor yahay sababtoo ah interface-ku wuxuu muujinayaa UP, waxay sharraxayaan calaamadaha xidhiidhka qalab macmal ah oo aan lahayn lammaane u gaar ah. Calaamaddu waxay ka dhigan tahay qalabka waa la abuuray oo la daariyay, wax ka badan maaha.

Xuduud kale: aqoonsiga interface-ku ma aha magac. Laba qalab oo magacyo isku eg iyo aqoonsiyo kala duwan ma wadaagaan xaalad, iyo xidhiidh lagu habeeystay aqoonsi khaldan wuxuu rakibaa xaalad aan waddo waligeed isticmaalin.

Mid u dhis si nidaamka saxda ah

Ka bilow qalabka dibadda iyo lambar aad sidoo kale gelinayso habaynta daemon-ka. Tusaaluhu wuxuu isticmaalaa eth0 oo ah interface dibadda iyo 42 oo ah aqoonsi, cinwaanno ay tahay inaad ku beddesho kuwaaga.

Kor u qaad qalabka, ka dibna xaqiiji aqoonsiga uu kernel-ku diiwaangeliyay ka hor inta aadan taaban habaynta VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Hadda ku habee xidhiidhka strongSwan isla aqoonsigaas, maadaama daemon-ku ay tahay inuu rakibo siyaasado iyo xaalado tixraacaya. U dhig doorashooyinka taraafikada gudaha iyo dibadda ee baaxadda aad rabto inaad waddo, ka dibna baaxaddaas u waddo qalabka. Habaynta daemon-ka iyo miiska waddooyinka waa inay ku heshiiyaan aqoonsiga iyo meelaha loo socdo labadaba, oo midkoodna ma bixiyo kan kale.

Ka fogee IKE iyo ESP waddada tunnel-ka

Waddada caadiga ah ee u jeedda qalabka XFRM waxay qabataa baakadaha la duubay iyo taraafikada ay qaadaan. Natiijadu waa wareeg: gateway-ku waxa uu isku dayaa inuu ESP-giisa u diro tunnel-ka ESP-ku dhiso.

Xalku waa waddo gaar ah oo loogu talagalay cinwaanka dibadda ee lammaanaha iyada oo loo marayo interface-ka jidhka, taas oo ka adkaata tan caadiga ah sababtoo ah waxay la macaamiltaa bits badan. Waddooyinka ku salaysan calaamadaha waxay qabtaan isla shaqadaas marka tunnels badan ay wadaagaan hal miis, strongSwanna waxa uu diiwaangeliyay labada hab ee daabacaadda ku salaysan waddooyinka.

Wax kasta oo aad dooratid, xaqiiji in baakadda dibadda ay u baxdo iyada oo aan la duubin. Hubin degdeg ah waa inaad ping ku sameyso cinwaanka dibadda ee lammaanaha ka dib marka tunnel-ku kor yimaado; haddii taasi ku guuldareysato inta interface-ku kor yahay, ka shaki qabashada halkii gaaritaanka. Isla caqli ayaa khuseeya dekedda IKE, sababtoo ah taraafikada UDP ee daemon-ka laftiisu waa in aanay u gudbin qalabka uu isku dayayo inuu dhigo.

Hubi tirooyinka laba goobood ka hor inta aadan eedayn encryption-ka

Tirooyinka interface-ka iyo tirooyinka xaaladdu waxay cabbiraan marxalado kala duwan. Baakadaha lagu waddo qalabka waxay kordhiyaan qalabka xitaa marka aan xaalad ku habboonayn, halka tirooyinka xaaladdu uu u guuro oo kaliya taraafikada dhab ahaan la duubay.

Akhri labadaba, ka dibna akhri aragtida daemon-ka ee ku saabsan isku-xidhka ilmo:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Tirooyinka qalabka oo kor u kaca iyada oo soo-saarista xaaladdu madhan tahay waxay ka dhigan tahay in waddooyinku shaqeeyaan oo siyaasaddu aanay is waafaqayn, badanaa qalad aqoonsi ama doorasho. Tirooyinka xaaladdu oo kor u kaca inta dhinaca fog aanay waxba soo sheegayn waxay ka dhigan tahay in baakaduhu baxaan laakiin aanay soo gaarin ama ay ku guuldareystaan xaqiijinta, taas oo tilmaamaysa dariiqa ama habaynta lammaanaha. Isku-xidh ilmo oo liis ku qoran oo aan taraafiko lahayn waa dhibaato doorasho oo ku taal hal gees, ma aha sir jabtay.

Go'aanso cidda rakibaysa waddooyinka

Laba milkiile oo hal miis waddooyin ah waa isha caadiga ah ee lulmada. Haddii daemon-ku si otomaatig ah u rakibo waddooyinka, maareeyahaaga shabakaddu waa in aanu sidoo kale ku rakibin waddo caadi ah isla qalabkaas, iyo waddo gacan lagu daray oo uu qoray skript bilow ah waa la tirtiri doonaa marka xigta ee daemon-ku dib u habeeysto.

Dooro hal milkiile oo qor. Marka daemon-ku leeyahay waddooyinka, skript-ka bilowga ka fogee miiska oo u ogolow qeexidda xidhiidhka inay sharraxdo doorashooyinka taraafikada. Marka maareeyaha shabakaddu leeyahay, dami rakibidda otomaatigga ah oo aqbal in daemon-ku aanu hagaajin doonin waddo maqan marka dib loo xidho.

Xeerarka gudbinta iyo dab-damiska waa go'aan gaar ah oo ka sarreeya tan, sababtoo ah gateway-ga dhaafiaya taraafikada martigeliyayaasha kale waxa uu u baahan yahay labadaba. IPsec-ka ku salaysan waddooyinka waxa uu taraafikadaas ka dhigaa mid si fudud loogu muujin karo agabka waddooyinka caadiga ah; kama dhigto lakabka siyaasadda mid ikhtiyaari ah.