Kalimi i IPsec në një ruter shtëpiak: çfarë bën në të vërtetë

Çelësat e kalimit të ruterit janë lëshime përcjelljeje për një pajisje pas tyre, jo shërbime VPN. Ata nuk e regjistrojnë ruterin si klient, nuk mbajnë kredenciale dhe nuk e shtyjnë çdo pajisje të shtëpisë përmes një daljeje të largët. Ajo që bëjnë është të formësojnë se si një protokoll kalon përkthimin e adresave dhe filtrat. Pasi kjo është e qartë, çelësi bëhet i lehtë për t’u testuar dhe i lehtë për t’u lënë i fikur.

Çfarë bën ruteri në të vërtetë

Ruteri qëndron midis një klienti dhe një partneri IPsec dhe përcjell paketa që nuk u projektua kurrë t’i kuptonte. Prodhuesit e zbatojnë funksionin në të paktën tre mënyra: një ndihmës protokolli që ndjek ose rishkruan gjendjen, një përjashtim filtri që ndalon hedhjen e ESP, ose një modalitet përputhshmërie për klientët më të vjetër. Etiketa në ndërfaqen e uebit rrallë thotë se cilin nga të tre keni. Vetëm shënimet e firmware-it ose një kapje paketash do ta thonë.

Një ndihmës mund t’i përkeqësojë gjërat. Ndihma e shkruar për një rrjedhë më të vjetër ndonjëherë ndërhyn në një klient që tashmë e trajton saktë përkthimin. Kur një klient modern punon me opsionin e fikur, lënia e tij i fikur është konfigurimi më i mirë.

Kalimi nuk i jep kurrë ruterit çelësat e partnerëve. Ai vazhdon të shohë adresat dhe portat e jashtme dhe vazhdon të zbatojë politikën e vetë të përcjelljes ndaj tyre.

NAT dhe NAT-T vendosin rrugën

IPsec nuk u ndërtua për të mbijetuar përkthimin e adresave, prandaj standardet shtuan një mbështjellës. NAT traversal e mbyll ESP brenda UDP, duke lejuar një tabelë NAT të zakonshme të mbajë rrjedhën, dhe negociata bie dakord për atë ndërrim gjatë IKE (RFC 3948). Vetë IKE përdor UDP 500, ndërsa rruga e mbështjellë zakonisht përdor UDP 4500.

Prandaj një rregull i firewalit që lejon vetëm protokollin 50 nuk mjafton në një rrugë të përkthyer. Bllokimi i 4500 prish rastin për të cilin ekziston mbështjellësi, dhe bllokimi i 500 ndalon negociatat përpara se të formohet ndonjë tunel. Të dy drejtimet kanë rëndësi, sepse një ruter me gjendje zakonisht e lejon përgjigjen vetëm pasi e ka parë kërkesën. Të arrish një port nuk është e njëjta gjë me përfundimin e vërtetimit, as me përcjelljen e trafikut të mbrojtur.

Rregullimet më të vjetra ndryshojnë mjaftueshëm saqë një udhëzues i shkruar për to mund të mashtrojë. Kur një klient ofron të dy modalitetet, testo atë që dokumenton partneri yt dhe jo atë me më shumë rezultate kërkimi.

Gjej fazën që dështon

Ndaj problemin në negociata, vërtetim, mbrojtje e fëmijës dhe përcjellje e brendshme, pastaj mblidh prova për një fazë në një herë. Një rindezje që ndryshon përkohësisht rezultatin vërteton vetëm se ishte përfshirë ndonjë gjendje.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Kapja tregon nëse shkëmbimi arrin partnerin dhe nëse përgjigjet kthehen, gjë që ndan një problem filtri nga një problem kredencialesh. Lista e gjendjes tregon asociacionet e sigurisë të vendosura, prandaj një listë bosh pas një përpjekjeje tregon negociatat dhe jo rrugëtimin. Lista e politikave tregon se cilët përzgjedhës janë instaluar, dhe pikërisht aty përjashtohet një destinacion jashtë nënrrjetit. Lexo të dy daljet e xfrm para se të prekësh ruterin, sepse përshkruajnë atë që mendon strehuesi dhe jo atë që lejon ruteri.

Nëse paketat dalin dhe asgjë nuk kthehet, zhvendos kapjen në anën WAN të ruterit. Krahasimi i dy kapjeve lokalizon hedhjen pa hamendësuar.

Fik atë që nuk të duhet

Një laptop që funksionon nuk dëshmon se ruteri u shërben disa klientëve njëkohësisht. Secili klient krijon gjendjen e vet të përkthimit dhe negociatat e veta, dhe disa ndihmës ndjekin vetëm një rrjedhë. Testo numrin e sesioneve njëkohëse që ju nevojiten vërtet, nga rrjetet që përdorni vërtet. Nëse klienti i dytë dështon ndërsa i pari lulëzon, ky është zbulimi dhe jo një tunel i paqëndrueshëm.

Lëre opsionin të ndezur vetëm kur një kapje tregon se është i nevojshëm. Shënoni versionin e firmware-it pranë rezultatit, sepse këto sjellje ndryshojnë midis versioneve. Qëllimi është një tunel klienti që e keni verifikuar, jo një çelës i ndezur me shpresë.