Wadada caadiga ah ee XFRM ayaa liqday IKE iyo ESP: hay wadada dibadda

Gaadiidka waa la ilaaliyay, tunnel-ku wuu shaqeynayaa, ka dibna wuu dhintaa cusboonaysiinta fure ee xigta. Wado caadi ah oo mara interface-ka XFRM ayaa sharraxay gaadiidka aad rabtay inaad ilaaliso. Waxay kaloo liqday baakadaha loo baahan yahay in ilaalintu sii socoto.

Laba meelood ee ku lug leh lama isweydaarsan karo. Dariiqa waa inuu taas si cad u sheegaa.

Halka raadinta saaxiibka dhab ahaan tagto

Diiwaangeli xeerarka firfircoon, shaxda wadada XFRM haysata iyo cinwaanka dadweynaha ee saaxiibka. Kadib eeg wadada isku xirka dibadda uu qaadan doono isagoo wata isha iyo calaamadda dhabta ah. Meel guud wax kama sheegto wadadaas xakamaynta. Kaliya isha iyo calaamadda dhabta ah ayaa jawaab faa'iido leh bixiya.

Isku xirka bilowga ah ee guulaysta ayaa sidoo kale wax yar caddeeya. Ciladdu waxay inta badan soo baxdaa ka dib marka rakibidda wadada jawaabta beddesho. Bilowgu wuu guulaystaa, ka dibna cusboonaysiinta koowaad ma guulaysato.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Haddii raadinta saaxiibka ay ku dhacdo interface-ka XFRM, baakadaha dibadda waxaa loo maraa tunnel-ka ay iyagu dhisayaan. Taasi waa wareegta, oo lagu arko hal amar.

Xulashooyinka ka-reebidda ee gateway casri ah

Dukumeentiga strongSwan ee ku saabsan VPN ku salaysan dariiqa wuxuu soo bandhigayaa laba jawaabood oo wax ku ool ah. Mid wuxuu calaamadeeyaa IKE iyo ESP si xeerka shaxda XFRM u jeeda uusan u dhicin iyaga. Midda kale waxay ka tagtaa wado saaxiib ama ka-reebid raadintu weli gaari karto.

Qaado tan ay xeerarku muujin karaan iyada oo aan saameyn dhinac ah lahayn. Calaamaddu waa nadiif marka qaybta kale ee stack-ku hore u isticmaasho calaamado. Waa khatar marka isla maaskarada ay macne kale ku leedahay xeer kale. Labada nooc ee baakadaha ayaa si kastaba u baahan daaweyntan.

Calaamadeynta IKE oo kaliya waxay baakadaha xogta ku reebtaa wadada la qabtay. Taasi waxay abuurtaa tunnel gacan-qaad sameeya ka dibna waxba qaadin.

Calaamaddu waa hal bit oo ku jira fwmark baakadda oo aan wax kale oo gateway-ka ah sheeganayn: 0x1 oo leh maaskar 0x1 waa doorashada caadiga ah, waana in lagu dejiyo laba meelood si ka-reebidda u shaqeyso. Charon wuxuu uga baahan yahay socket-ka IKE, iyo dejinta calaamadda soo-galka iyo soo-baxa ee isku xirka ilmo waxay u baahan yihiin isla qiimaha si baakadaha la duubay iyaguna calaamad leh u baxaan. Maaskar 0x1 halkii 0xffffffff wuxuu ka tagaa bits-ka hadhay oo xor ah, taas oo muhiim ah marka nidaam hoosaad kale uu hore u calaamadeeyo baakadaha isla host-ka. Marka labadaba la dejiyo, xeerka waxaa loo qoraa ka-reebid, sidaas darteed baakadaha calaamadeysan waxay dhaafaan shaxda wadada XFRM haysata waxayna ku dhacaan shaxda weyn:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Kadib akhri jawaabta iyada oo calaamadda lagu dabaqay. Iyada la'aan waxaad baaraysaa wadada gaadiidka la ilaaliyay qaato, taas oo ka soo horjeedda su'aasha qaybtan.

Waxa rakibidda otomaatigga ah ka malaynayso dhismaha

Rakibidda wadada otomaatigga ah ee interface-ka XFRM waxay ku xiran tahay nooca strongSwan iyo habayntiisa. ID-ga interface-ka, siyaasadda la rakibay iyo isku-xirka dhammaantood waa inay tilmaamaan shayyada loogu talagalay. Is-maqnaanshaha wuxuu u muuqdaa sida wado aamusan u tilmaamaysa meel dhab ah.

Koobiga lambarka shaxda ama maaskarada calaamadda oo laga keenay gateway kale waa sida isku-dhacyadu u bilaabmaan. Marka hore hubi waxa hore u isticmaalayay. Isku-dhac wuxuu saameeyaa gaadiid aad ka fog tunnel-ka aad rabtay inaad beddesho, calaamaduna marar dhif ah ayay tilmaantaa koobiga.

Isbeddellada cinwaanka saaxiibka waa qayb ka mid ah naqshadda. Wado host ah oo cinwaanka shalay ma aha qorshe soo-kabasho endpoint, halka calaamaddu ay ka gudubto isbeddelkaas.

La soco cusboonaysiinta koowaad

Hubi wadada dibadda ka dib marka wadooyinka la ilaaliyay la rakibay, ma aha ka hor. Kadib la soco cusboonaysiinta xigta iyo hal is-weydaarsi app. Ciladdu waxay inta badan soo baxdaa isbeddelkaas, ma aha bilowga.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Ka saarista ku meel gaadhka ah ee wadada caadiga ah ee la ilaaliyay waxay inta badan soo celisaa isku xirka. Natiijadaas waa baaritaan, ma aha mid kama dambays ah.

Hadafku waa kala qaybinta joogtada ah ee u dhexeeya gaadiidka gudaha iyo baakadaha dibadda ee qaada. Qor habka la doortay iyo shaxdiisa ama calaamaddiisa qoraallada gateway-ka. Haddii kale qofka xigta ee taabta xeerarka ayaa wareegta dib u soo celin doona.