Si funksionon IPsec i bazuar në rrugë me një ndërfaqe XFRM

IPsec i bazuar në rrugë i dorëzon tabelës së rrugëzimit një vendim që më parë e merrnin përzgjedhësit e politikës. Në Linux, pjesa që e bën të mundur këtë është ndërfaqja XFRM: një pajisje virtuale, trafiku i së cilës përputhet me gjendjen e IPsec përmes një identifikuesi ndërfaqeje dhe jo përmes një përzgjedhësi. Krijimi i njërës kërkon një komandë të vetme dhe nuk provon asgjë për ekzistencën e një tuneli. Pajisja është një grep midis rrugëzimit dhe politikës së sigurisë, dhe të dyja anët e atij grepi duhet të konfigurohen përpara se diçka të mbrohet.

Çfarë është pajisja dhe çfarë nuk është

Një ndërfaqe XFRM është një dorezë rrugëzimi. Paketat e rrugëzuara në të përputhen me politika XFRM që referojnë të njëjtin identifikues ndërfaqeje, dhe nëse ekzistojnë një politikë dhe një gjendje, ato inkapsulohen. Pa ato, ndërfaqja ekziston, numëruesit qëndrojnë vendnumëro dhe trafiku shkon diku pa dobi.

Kjo është ndarja e parë diagnostike. Një rrugë brenda pajisjes është fakt rrugëzimi, një gjendje e instaluar është fakt sigurie, dhe një numërues që rritet në pajisje nuk është as njëra as tjetra. Kur njerëzit thonë se tuneli është lart sepse ndërfaqja tregon UP, po përshkruajnë flamujt e lidhjes të një pajisjeje virtuale që nuk ka partner të vetin. Flamuri do të thotë që pajisja u krijua dhe u aktivizua, asgjë më shumë.

Një kufi tjetër: identifikuesi i ndërfaqes nuk është emër. Dy pajisje me emra të ngjashëm dhe identifikues të ndryshëm nuk ndajnë gjendje, dhe një lidhje e konfiguruar me identifikuesin e gabuar instalon një gjendje që asnjë rrugë nuk do ta përdorë kurrë.

Ndërtoni një në rendin e duhur

Filloni me pajisjen e jashtme dhe një numër që do ta vendosni edhe në konfigurimin e daemonit. Shembulli përdor eth0 si ndërfaqe të jashtme dhe 42 si identifikues, adresa që duhet t'i zëvendësoni me tuajat.

Ngrini pajisjen dhe më pas konfirmoni identifikuesin që kernel-i regjistroi përpara se të prekni konfigurimin e VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Tani konfiguroni lidhjen në strongSwan me të njëjtin identifikues, pasi daemoni duhet të instalojë politika dhe gjendje që referojnë atë. Vendosni përzgjedhësit e trafikut lokal dhe të largët në intervalin që synoni të rrugëzoni, pastaj rrugëzoni atë interval në pajisje. Konfigurimi i daemonit dhe tabela e rrugëzimit duhet të bien dakord si për identifikuesin ashtu edhe për destinacionet, dhe asnjëra nuk e furnizon tjetrën.

Mbani IKE dhe ESP jashtë rrugës së tunelit

Një rrugë e paracaktuar që tregon në pajisjen XFRM kap paketat e inkapsuluara dhe trafikun që ato mbajnë. Rezultati është një cikël: porta përpiqet të dërgojë ESP-në e vet përmes tunelit që ESP duhet të ndërtojë.

Zgjidhja është një rrugë më specifike për adresën e jashtme të partnerit përmes ndërfaqes fizike, e cila mund të paracaktuarën sepse përputhet me më shumë bit. Rrugëzimi i bazuar në shenja bën të njëjtën punë kur disa tunele ndajnë një tabelë, dhe strongSwan dokumenton të dyja qasjet për vendosjet e bazuara në rrugë.

Çfarëdo që të zgjidhni, verifikoni që paketa e jashtme del e pa inkapsuluar. Një kontroll i shpejtë është ping në adresën e jashtme të partnerit pasi tuneli është ngritur; nëse kjo dështon ndërsa ndërfaqja është lart, dyshoni kapjen dhe jo arritshmërinë. I njëjti arsyetim vlen për portën IKE, sepse trafiku UDP i vetë daemonit nuk duhet të rrugëzohet në pajisjen që ai po përpiqet të vendosë.

Kontrolloni numëruesit në dy vende përpara se të fajësoni kriptimin

Numëruesit e ndërfaqes dhe numëruesit e gjendjes matin faza të ndryshme. Paketat e rrugëzuara në pajisje rritin pajisjen edhe kur asnjë gjendje nuk përputhet, ndërsa numëruesit e gjendjes lëvizin vetëm për trafikun që u inkapsulua vërtet.

Lexoni të dyja, pastaj lexoni pikëpamjen e daemonit për asociacionin fëmijë:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Numëruesit e pajisjes që rriten me dalje gjendjeje të zbrazët nënkuptojnë që rrugëzimi funksionon dhe politika nuk përputhet, zakonisht një gabim identifikuesi ose përzgjedhësi. Numëruesit e gjendjes që rriten ndërsa ana e largët nuk raporton asgjë nënkuptojnë që paketat dalin por nuk mbërrijnë ose dështojnë vërtetimin, gjë që tregon shtegun ose konfigurimin e partnerit. Një asociacion fëmijë i listuar pa trafik është problem përzgjedhësi në njërën anë, jo një shifër e prishur.

Vendosni kush i instalon rrugët

Dy pronarë për një tabelë rrugëzimi janë burimi i zakonshëm i lëkundjes. Nëse daemoni i instalon rrugët automatikisht, menaxheri juaj i rrjetit nuk duhet të instalojë gjithashtu një rrugë të paracaktuar përmes të njëjtës pajisje, dhe një rrugë manuale e shtuar nga një skript nisjeje do të hiqet herën tjetër që daemoni rikonfigurohet.

Zgjidhni një pronar dhe shkruajeni atë. Kur daemoni zotëron rrugët, mbani skriptin e nisjes jashtë tabelës dhe lini përkufizimin e lidhjes të përshkruajë përzgjedhësit e trafikut. Kur ato i zotëron menaxheri i rrjetit, çaktivizoni instalimin automatik dhe pranoni që daemoni nuk do të riparojë një rrugë që mungon gjatë rilidhjes.

Rregullat e përcjelljes dhe të murit të zjarrit janë një vendim i veçantë mbi këtë, pasi një portë që lë të kalojë trafikun e pritësve të tjerë ka nevojë për të dyja. IPsec i bazuar në rrugë e bën atë trafik të lehtë për t'u shprehur me mjete të zakonshme rrugëzimi; nuk e bën shtresën e politikës opsionale.