Halka VPN-ga boggaaga uu ku dhammaado ayaa go'aamiya waxa la baarayo

Tunnel u dhexeeya bogagga wuxuu qariyaa faahfaahin go'aamisa dhammaan naqshadda baaritaanka: qalabka saxda ah ee baakadda gudaha ku muuqato qoraal cad. Wax kasta oo ka horreeya bartaas waxay arkaan ESP, wax kasta oo ka dambeeya waxay arkaan IP caadi ah oo sharci ku qaban karo. Xadka meel khaldan dhig, darbiga dabka aad lacagta ka bixisay wuxuu noqonayaa router shati leh. Hagaha hoose wuxuu marka hore xariijinayaa khadka kadibna wuxuu weydiinayaa qalabka loo leeyahay.

Xariijin khadka halka baakaddu ka joojiso sir-garaynta

Habka tunnel-ka, baakadda asalka ah waa la sireeyaa kadibna waxaa lagu duubaa cinwaan cusub oo IP dibadda ah oo loo jeediyay iridda lammaanaha. Baakaddaas dibadda waxay qaadaysaa borotokool 50 oo ESP ah, sidaas darteed qalab kasta oo u dhexeeya labada iridood ayaa u mari kara iyada oo aan akhrin cinwaannada gudaha. Qalabka ugu horreeya ee sirta qaada waa xadka ammaanka, waana qalabka ugu horreeya ee siyaasad ku dabaqi kara socodka gudaha. Wax kasta oo ka hooseeya bartaas waa marin caadi ah.

Calaamadee saddex shay sawirka: barta ugu dambaysa ee dibadda ee aqbala ESP, shabakadaha la ilaaliyay ee lagu magacaabay siyaasadda, iyo boodhka xiga ee baakadda la furay qaadato. Haddii saddexdaan aysan ku wada jirin hal qalab, waxaad haysataa wareejin loo baahan yahay in la naqshadeeyo, ma aha hal barta kontorool.

RFC 4301 waxay qalabka sirta qaada ugu yeertaa irid ammaan waxayna siyaasaddiisa u qaadataa qayb ka mid ah xadka. Kani waa qaab faa'iido badan marka loo eego qaybta badeecada, sababtoo ah qalabku waa xad marka uu hayo siyaasadda, ma aha marka warqaddiisa xogta ay tidhaahdo darbi dab.

Darbiga dabka oo dhammaad ah: hal qalab, hal barta siyaasad

Marka darbiga dabku dhammeeyo tunnel-ka, router-ka sare wuxuu u baahan yahay oo keliya inuu ESP u keeno. Darbiga dabku wuxuu xaqiijiyaa lammaanaha, wuu furaa sirta, kadibna wuxuu ku dabaqaa sharciyadiisa caadiga ah baakadda gudaha marka ay u socoto VLAN-ka serverada. Tani waxay bixisaa hal meel oo siyaasadda laga akhriyo iyo hal meel oo diiwaannada laga akhriyo, taas oo baaritaanku badanaa dalbado.

Baar labada fasax si gooni ah. In IKE iyo ESP loo oggolaado qalabka ma aha isla sharciga oggolaanshaha bogga fog inuu gaaro server, darbiga dabka ee aqbala tunnel-ka isla markaana xanniba socodka gudaha wuxuu ka muuqdaa dhinaca kale sidii tunnel jabay si sax ah.

Qiimaha ayaa ah in darbiga dabku hadda ku yaal waddada dhammaan gaadiidka bogga, sidaas darteed wax-soo-saarkiisa, xaddidka fadhiyada iyo hab-dhaqanka beddelka marka uu guuldareysto waxay noqdaan hab-dhaqanka tunnel-ka laftiisa. U qiyaas socodka isku dhafan ee bogga, ma aha profile-ka gelitaanka fog ee laga yaabo in loo iibsaday.

Router-ka oo dhammaad ah: boodhka baaritaanku wuxuu noqdaa mid ikhtiyaari ah

Marka router-ku sirta furo, baakaddu horey ayay u cad tahay marka ay gaarto shaxda marin. Haddii darbi dab gooni ah uu baaro gaadiidkaas, router-ku waa inuu ku diraa darbiga dabka dhexdiisa, waddada soo noqoshadana waa inay sidii oo kale ku soo noqotaa. Waddo toos ah oo router-ka ka timaada oo u socota VLAN-ka serverada ayaa si aamusan darbiga dabka uga saarta waddada isla markaana ku reeba sawirka.

Kani waa cilladda laga raadinayo shabakad jirta: laba waddo oo u socda isku horgale, mid darbiga dabka maraysa iyo mid toos ah, tooskaana ku guulaysta dhererka horgalaha ama mitirka. Tunnel-ku wali wuxuu marayaa gaadiidka baaritaanka aad aaminsan tahayna ma dhaco.

Tunnel-yada ku salaysan waddada waxay tan muujiyaan, sababtoo ah tunnel-ku waa is-dhexgal lagu mari karo qalab kale. Tunnel-yada ku salaysan siyaasadda waxay gaadiidka ku doortaan dooro, taas oo laga yaabo inay baakadda la furay ku reebto router-ka iyada oo aan meel kale loo socon.

Weydii labada musharrax isla shanta su'aalood

Waraaq shaqo gaaban ayaa ka adkaata matrix-ka sifooyinka, sababtoo ah su'aal kastaa waxay u dhigantaa hal khad sawirka. Weydii musharrax kasta:

• Noocyada IKE ee kee, hababka xaqiijinta lammaanaha iyo moodooyinka marin ee kee ayaa noocan dhab ahaan taageeraa?
• Xaggee la aqbalaa ESP, xaggeese la oggolaaday ama la diiday socodka la furay?
• Sidee martigaliyayaasha maxalliga ah u bartaan horgalayaasha fog, sideese dhinaca kale u bartaa kuwaaga?
• Wax-soo-saar, tirada fadhiyada iyo hab-dhaqanka beddelka marka uu guuldareysto noocee ah ayay tahay in barta ugu dambaysa u adkaysato culeyska dhabta ah?
• Yaa leh aqoonsiga lammaanaha, siyaasadda iyo waddada soo kabashada marka tunnel-ku yahay shayga jabay?

pfSense waxay u diiwaangelisaa IPsec ku salaysan siyaasadda iyo kan ku salaysan waddada sidii moodooyin gooni ah oo xaddidaadyo gooni ah leh, farqigaasna wuu ka muhiimsan yahay calaamadda sanduuqa. Baar habka saxda ah iyo shaandhaynta la taageeray ee gaadiidka la furay ee ku jirta nooca aad dhab ahaan deploy-gayn doonto.

Haddii musharrax uusan su'aasha labaad kaga jawaabi karin sharci aad akhrisan karto, taasi ma aha xadka aad rabto, si kasta oo uu waxyaabaha kale u wanaajiyo. Weydii qoraalka sharciga halkii aad ka weydiin lahayd haa, oo jawaabta aan caddayn u qaado maya.

Xaqiiji waddada qabasho, ma aha sawir

Sawirku wuxuu qeexaa ujeeddo, qabashaduna waxay qeexdaa hab-dhaqan, sidaas darteed xaqiiji is-dhexgalka kee qaado ESP iyo kee qaado socodka gudaha ka hor inta aanad aaminin midkoodna.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Haddii qabashada koowaad muujiso ESP imanaya qabashada labaadna muujiso baakadda gudaha dhinaca LAN, barta sir-furka waa halka aad ka fikirtay. Haddii baakadda gudaha ka muuqato qayb dhaafsiisan darbiga dabka, marinku waa khalad, wax kasta oo qoraalka siyaasaddu yidhaahdo. Liiska xfrm markaas wuxuu muujinayaa doorayaasha la rakibay iyo jihada.

Ku celi qabashada waddada soo noqoshada, sababtoo ah marin aan isku mid ahayn waa caadi marka boggu leeyahay laba meelood oo bax ah. Tunnel-ku ka shaqeeya hal jiho oo waqti kaga dhamaada jihada kale had iyo jeer waa tan, mana jiro wax tafatir siyaasadeed oo dhinaca kale ah oo hagaajiya.