Sababta tcpdump uu u muujiyo qoraalka cad ee IPsec hal jiho kaliya

Waxaad ku socodsiisaa tcpdump interface-ka dibadda ee albaabka IPsec ee Linux waxaadna isku mar arkaysaa laba shay: faramyada ESP ee soo gala iyo, isla markiiba kadib, baakadaha gudaha ee la siibay sirta. Dhinaca baxa waxaa kaliya muuqda ESP. Gabagabada dabiiciga ah waa in jawaabaha aan la dirin ama IPsec uu sirteeyo hal jiho oo uu ilaabo tan kale. Midkoodna run maaha.

Waxa aad arkaysaa waa barta qabashada. Kernel-ku wuxuu beddelaa baakadaha baxa ka hor inta aan waddada gudbinta qalabka ay u gudbin socket-ka baakadaha, sidaas darteed socket-ku waligiis ma arko qaabka gudaha ee baxa. Marka la soo galo, baakadka waxaa marka hore loo qabtaa ESP, nuqulka la furfurnaa wuxuu muuqdaa marka uu mar kale galo stack-ka. Isla taraafikada, laba daaqadood oo kala duwan oo indho-indheyn ah.

Barta qabashada ayaa go'aamisa waxa aad aragto

Interface caadi ah, socket-ka AF_PACKET wuxuu ku yaal meel u dhow lakabka qalabka. Baakadaha ka baxa martigeliyaha waxay marka hore maraan habaynta baxa ee IPsec, taas oo u beddela qaybta TCP gudaha datagram ESP ama UDP-4500, kadibna waxay gaadhaan lakabkaas. Baakadaha soo gaadha waxaa lagu koobiyaa socket-ka marka ay ka soo baxaan xarigga, iyagoo weli sirteysan, natiijada la siibay sirtana waxay muuqataa hadhow marka stack-ku uu gudbiyo gudaha ama uu sii gudbiyo.

Nidaamkaas ayaa si buuxda u sharraxaya isqaybsanaan la'aanta. Ma aha caddayn ku saabsan jihada, siyaasadda ama habdhaqanka barnaamijka, oo haddii loo arko sidaas dadku waxay daba galaan jawaab si sax ah loo diray waqti kasta. Waa mid ka mid ah halxiraalaha shabakadeed ee yar ee qalabka, ee ma aha shabakadda, abuura qaladka.

Shaandhaynta la jaanqaad lakabka aad ula jeedo

Tibaax sida tcp port 443 waxay doorataa xiriir TCP gudaha. Dhinaca baxa, xiriirkaas wuxuu horey u noqday ESP marka socket-ka la weydiiyo, sidaas darteed shaandhayntu wax kuma habboona. Haddii aad rabto inaad tirisid taraafikada la ilaaliyay, shaandhee qaabka dibadda: borotokoolka 50 ee ESP ceyriin, ama dekedda UDP 4500 marka la isticmaalayo gudbinta NAT. Labada shaandhaynba waxay bixiyaan tiro baakado ah oo la barbardhigi karo labada dhinac, taas oo badanaa sababta tirinta. Midkoodna ma sheego haddii codsiga gudaha jawaab helay.

Ha u qaadan tiradu UDP 4500 inay tahay tirada baakadaha ESP. IKE sidoo kale wuxuu dekeddaas u isticmaalaa fariimaha sii-jiirka NAT-T iyo isdhaafsiga xiran, sidaas darteed tirada waxay ku daraysaa taraafik aan ahayn xogta aad rabtay inaad cabbirto. Isdhaafsiga bilowga ah ee IKE ee UDP 500 wuxuu u baahan yahay shaandhayn u gaar ah haddii taasi tahay su'aasha. Tiro isku daraysa taraafikada kontoroolka iyo xogta waxay sidoo kale qalad ka dhigtaa qiyaas kasta oo ballaca xadhiga ah oo aan la garanayn. Tirinta kala duwan waxay ka jawaabtaa su'aalo kala duwan.

Ku qor shaandhaynta meel u dhow su'aasha ay ka jawaabto. «Immisa ESP ayaa ka baxay sanduuqa» iyo «codsiga web-ka ma ka baxay sanduuqa» waa cabbirro kala duwan oo leh shaandhayn kala duwan, oo hal qabasho ma xallin karto labadaba. Qoraalkaas la'aantiis laba qof waxay barbardhigi doonaan tirooyin aan waligood tirin isla shay.

Indho-indheyn ka hor isbeddelka, ma aha kadib

Haddii aad u baahan tahay inaad aragto qoraalka cad ee baxa, u rar barta indho-indheynta hore, ka hor habaynta baxa ee IPsec. NFLOG waxay ku siinaysaa kood Netfilter ah halkaas oo qaanuun uu ku koobi karo baakadaha la doortay socket ku yaal meel bannaan oo isticmaale, taas oo tcpdump uu akhrin karo. Hagaha daadin taraafikada ee strongSwan wuxuu diiwaangeliyay habkan sababtaas oo kale awgeed.

Isku-dhaca siyaasadda wuxuu qaanuunka ku xaddidaa taraafikada ku dhow inuu galo tunnel. -m policy --pol ipsec --dir out ayaa qaanuunka gaar ka dhigaya halkii la diiwaangelin lahaa baakad kasta oo sanduuqa diro. Kadib akhri kooxda diiwaanka iyadoo la adeegsanayo qabasho xaddidan: tiro yar oo sawirro degdeg ah iyo xad cabbir ayaa ka hortaga in baaritaanku noqdo kayd taraafikadeed. Qabasho xaddidan sidoo kale way fududahay in la siiyo dib-u-eegaha iyada oo aan la jiidan culeys aan khusayn. Go'aanso tirada ka hor inta aanad bilaabin, ee ma aha kadib markaad aragto inta yimid.

iptables -I OUTPUT 1 -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5
tcpdump -ni nflog:5 -s 128 -c 20 'host 10.83.0.44 and tcp port 8443'

Dooro koodka u habboon qulqulka. OUTPUT wuxuu daboolaa taraafikada uu albaabku isagu soo saaro; gudubka macmiil LAN ah wuxuu maraa silsiladda FORWARD, oo qaanuunka OUTPUT ku yaal waligiis ma arki doono. Cinwaanka iyo dekedda kor ku xusan waa meelo bannaan oo loogu talagalay goob tijaabo oo la ansixiyay.

Waxa indho-indheyntu caddaynayso

NFLOG waa bartilmaameed diiwaangelin, ma aha go'aan aqbalid. Baakad halkaas ka muuqata waxay tusinaysaa inuu gaadhay koodka oo uu la jaanqaaday qaanuunka. Ma tusinayso in shaandhayn dambe uu oggolaaday, in qalabku diray, ama in dhinaca kale wax helay.

Diiwaan madhan ayaa sidoo kale mugdi ah. Hubi tiriyaha baakadaha qaanuunka, xaqiiji jihada, xaqiiji in qulqulku runtii la jaanqaaday siyaasad IPsec, oo xaqiiji goobta. Kaliya tiriyo is waafaqa oo labada dhinac jooga ayaa indho-indheyn u beddela gabagabo. Kadib barbardhig tiriyayaasha ururka ammaanka labada dhinac ee isla isku daygii la kontoroolay, waayo tiriyayaasha SA waa diiwaanka awoodda leh ee waxa la ilaaliyay oo la diray.

Dabin kale: «qoraal cad» macnahu waa ka baxsan lakabka sireynta IPsec. Kalfadhi HTTPS gudaha ah weli waxay leedahay TLS u gaar ah. Qabashada baakadka la furfuray ma siibto TLS-ka barnaamijka, oo HTTP la akhriyi karo halkaas ku arkaa waxay ka dhigan tahay in barnaamijku waligiis isticmaalin HTTPS.

Nadiifi oo barbardhig labada daraf

Ka saar isla qaanuunka aad gelisay, iyada oo loo eegayo milkiilaha, isla marka indho-indheynta dhammaato. Qaanuun diiwaangelin oo meesha laga tago waxay ku qaadanaysaa CPU baakad kasta oo is waafaqa oo si aamusnaan ah u abuurta dhibaato haynta xogta. Tirtir adigoo ku celcelinaya qaanuunka -D halkii aad ka nadiin lahayd silsilad aan adiga kuu ahayn.

iptables -D OUTPUT -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

Haddii baahinta isticmaasho IPsec meel bannaan oo isticmaale, interface XFRM ama dejin qalab, barta indho-indheynta way dhaqaaqdaa oo macluumaadkani waxaa laga yaabaa inuusan haba yaraatee khusayn. libipsec, meesha la diiwaangeliyay ee lagu eego taraafikada gudaha waa qalabka TUN. Marka hore aqoonso waddada, kadib dooro barta ka jawaabta su'aasha, oo filo in labada jiho ay u muuqdaan kuwo kala duwan kaliya markaad eegto dhinaca qaldan ee isbeddelka.