IPsec пропуштање на кућном рутеру: шта оно заправо ради

Прекидачи пропуштања на рутеру су уступци за прослеђивање за уређај иза њих, а не VPN услуге. Они не уписују рутер као клијента, не држе акредитиве и не гурају сваки уређај у кући кроз удаљени излаз. Оно што раде јесте да обликују како један протокол прелази превођење адреса и филтере. Кад је то јасно, прекидач је лако тестирати и лако оставити искљученим.

Шта рутер заправо ради

Рутер стоји између клијента и IPsec партнера и прослеђује пакете које никада није био дизајниран да разуме. Произвођачи ту функцију остварују на најмање три начина: помоћник протокола који прати или преписује стање, изузетак у филтеру који зауставља одбацивање ESP-а, или режим компатибилности намењен старијим клијентима. Ознака у веб интерфејсу ретко каже који од та три имате. Само белешке фирмвера или снимак пакета ће вам то рећи.

Помоћник може и погоршати ствари. Подршка написана за старији ток понекад смета клијенту који већ исправно обрађује превођење. Кад модеран клијент ради са искљученом опцијом, оставити је искључену боља је конфигурација.

Пропуштање никада не даје рутеру кључеве партнера. Он и даље види спољне адресе и портове и и даље примењује своју политику прослеђивања на њих.

NAT и NAT-T одлучују о путу

IPsec није направљен да преживи превођење адреса, па су стандарди додали омотач. NAT traversal инкапсулира ESP унутар UDP-а, допуштајући обичној NAT табели да носи ток, а преговори се договарају о том пребацивању током IKE-а (RFC 3948). Сам IKE користи UDP 500, док инкапсулирани пут обично користи UDP 4500.

Зато правило заштитног зида које допушта само протокол 50 није довољно на преведеном путу. Блокирање 4500 квари случај због којег омотач постоји, а блокирање 500 зауставља преговоре пре него што се икакав тунел формира. Оба смера су важна, јер рутер који прати стање обично допушта одговор тек након што је видео захтев. Доћи до порта није исто као завршити аутентификацију, а ни као проследити заштићени саобраћај.

Старији распореди се довољно разликују да водич написан за њих може да завара. Кад клијент нуди оба режима, тестирајте онај који ваш партнер документује, а не онај са више резултата претраге.

Пронађите фазу која пада

Поделите проблем на преговоре, аутентификацију, заштиту детета и унутрашње прослеђивање, па прикупљајте доказе за једну фазу одједном. Поновно покретање које привремено промени резултат доказује само да је неко стање било укључено.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Снимак показује да ли размена стиже до партнера и да ли се одговори враћају, што одваја проблем филтрирања од проблема са акредитивима. Листа стања показује успостављене безбедносне асоцијације, па празна листа после покушаја упућује на преговоре, а не на рутирање. Листа правила показује који су селектори инсталирани, и ту се одредиште изван подмреже искључује. Прочитајте оба xfrm излаза пре него што дирате рутер, јер они описују шта хост мисли, а не шта рутер допушта.

Ако пакети излазе и ништа се не враћа, преместите снимак на WAN страну рутера. Поређење двеју снимака локализује испуштање без нагађања.

Искључите оно што вам не треба

Један радни лаптоп не доказује да рутер опслужује неколико клијената одједном. Сваки клијент ствара сопствено стање превођења и сопствене преговоре, а неки помоћници прате само један ток. Тестирајте број истовремених сесија који вам заиста треба, са мрежа које заиста користите. Ако други клијент падне док први ради, то је налаз, а не нестабилан тунел.

Оставите опцију укљученом само кад снимак покаже да је потребна. Забележите верзију фирмвера уз резултат, јер се ова понашања мењају између издања. Циљ је клијентски тунел који сте проверили, а не прекидач који сте укључили с надом.