IPsec ESP: kile kinachobeba na jinsi ya kuthibitisha kuwa kinatiririka

ESP hubeba trafiki katika VPN ya IPsec, na runbook yake huanza na kanuni moja: soma muungano wa usalama kabla ya kubadilisha sera. Tabia nyingi za ESP zisizoelezwa zinarejea kwa kichaguzi ambacho hakikulingana, hali iliyodhaniwa badala ya kusomwa, au kihesabu ambacho hakuna aliyekiangalia wakati mtiririko mmoja ulikuwa ukitumwa. Hatua tatu hapa chini zinabainisha nini hubeba nini, zinathibitisha kwamba mtiririko mmoja unautumia, na zinaacha urudishaji ambao hautegemei kumbukumbu. Kila hatua hutoa uchunguzi mmoja unaostahili kuandikwa.

Jua sehemu kabla ya kuzisoma

ESP huweka kichwa mbele ya data iliyolindwa na mkia nyuma yake. Kichwa hubeba kielekezi cha vigezo vya usalama kinachotambua muungano gani mpokeaji atumie, namba ya mfululizo kwa kutambua marudio, na katika mkia uzio unaodumisha mzigo ukiwa sawa kwa siri. Sehemu ya kichwa kinachofuata katika mkia husema maudhui yaliyolindwa ni yapi, na hivyo mpokeaji anajua alichokiondoa kwenye kibonge.

Hali hubadilisha kile kilicho ndani ya ulinzi huo. Katika hali ya handaki nyenzo iliyolindwa ni kifurushi kamili cha IP cha ndani, na kichwa kipya cha nje hubeba kati ya ncha mbili. Katika hali ya usafirishaji ulinzi hufunika mzigo wa tabaka la juu la kifurushi kilichopo, kwa hiyo hakuna kichwa cha pili cha IP cha kufungua. Hali ipi inatumika ni ukweli wa usanidi, si suala la tafsiri. Isome kutoka kwa kiingilio cha hali badala ya kuikisia kutoka kwa mchoro.

Hakuna hali yoyote inayoficha anwani ya nje ambayo lazima ifikishe kifurushi. Hiyo ni sifa ya muundo na si upungufu, na ndiyo sababu mwangalizi wa kati bado anaweza kuona ni anwani gani mbili zinazungumza hata wakati mzigo hauna uwazi.

Hatua ya kwanza: soma hali, kisha sera

Viingilio vya hali hushikilia funguo na vihesabu; viingilio vya sera hushikilia vichaguzi vinavyoamua nani anaruhusiwa kuvitumia. Katika Linux vyote viwili vinaonekana bila kunasa kifurushi, na kuvasoma kwa mpangilio huo huweka maswali mawili tofauti.

ip xfrm state
ip xfrm policy

Katika matokeo ya hali, angalia chanzo na lengo la muungano, hali, na kama ufungaji unaonyesha bandari za UDP. Bandari hizo zinamaanisha kwamba upitishaji wa NAT unatumika, jambo ambalo hubadilisha kile ambacho firewall ya kati inapaswa kuruhusu, lakini si vichaguzi au funguo zipi zinazotumika kwenye ncha.

Kisha soma vichaguzi katika sera. Kichaguzi kinachotaja kiambishi awali chembamba kuliko trafiki unayojaribu ndicho sababu ya kawaida zaidi ya handaki linalofanya kazi kuonekana linapuuza mtiririko, na kichaguzi cha itifaki isiyo sahihi hutoa ukimya huohuo.

Zana za wauzaji huchapisha habari hiyo hiyo kwa namna rahisi zaidi. ipsec statusall kwenye strongSwan huorodhesha miungano ya watoto, vichaguzi vyao na vihesabu vyao vya baiti, jambo ambalo mara nyingi ni haraka zaidi kuliko kusoma matokeo ghafi ya xfrm ukiwa unajua tayari mtoto wa kuangalia.

Hatua ya pili: thibitisha kwamba mtiririko mmoja unasogeza vihesabu

Vihesabu vina maana tu ikiwa unajua kile kilichopaswa kuvisogeza, kwa hiyo chagua chanzo na lengo ambavyo kichaguzi kinafikia kwa uhakika na tuma ombi moja lisilo na madhara. Kisha soma kiingilio hicho tena na linganisha.

ip -s xfrm state
tcpdump -ni any esp

Visomaji viwili husimulia hadithi tofauti. Vifurushi vinavyoongezeka upande wa kutoka lakini kamwe si upande wa kuingia vinaonyesha tatizo la upelekaji au njia ya kurudi badala ya tatizo la funguo, kwa sababu kifurushi kilifungwa na kikaondoka. Ikiwa hakuna kihesabu kinachosogea, trafiki haikulingana kamwe na sera, na kichaguzi ndicho mahali pa kuangalia.

Unasaji katika hatua hiyo hiyo unathibitisha ufungaji kwenye waya, ikiwa ni pamoja na kama vifurushi vya nje ni ESP au ESP iliyofungwa katika UDP. Pia inakuonyesha anwani zilizobeba mtiririko kwa kweli, na hizo wakati mwingine hutofautiana na zile zilizo katika usanidi uliokuwa ukisoma.

Hatua ya tatu: badilisha kitu kimoja na uweke urudishaji

Andika chanzo, lengo, hali, vichaguzi na vihesabu vya muungano kabla ya kuhariri chochote. Ikiwa mabadiliko yanafanya mambo kuwa mabaya zaidi, andiko hilo ndilo linalokuwezesha kurejesha hali ya awali badala ya kujenga upya usanidi unaofanya kazi kutoka kwa kukisia. Andiko hilo huchukua dakika moja kuandika na huokoa saa moja baadaye. Ni pia kitu pekee kinachobaki baada ya mtu aliyefanya mabadiliko.

Badilisha kichaguzi kimoja au kigezo kimoja, kipakishe upya, na urudie hatua ya pili kwenye mtiririko huo huo. Kufuta muungano huangusha kila mtiririko unaoutumia, kwa hiyo uhariri unaolengwa na upakiaji upya wa mtoto ni bora karibu kila wakati kuliko kumwaga hali ili kuona kitakachotokea.

Urudishaji wa uhariri wa kichaguzi ni kurejesha sera ya awali na kuipakisha upya, kwa sharti kwamba mwenzake anaweza kuhitaji mabadiliko yanayolingana ikiwa kichaguzi kinajadiliwa na si cha ndani. Andika utegemezi huo ukiwa mbichi, kwa sababu jozi iliyorejeshwa nusu ni vigumu kufikiria kuliko hali yoyote ya mwisho kati ya mbili.

Mwisho, weka wigo kwa uaminifu. Muungano wa ESP unaotiririka huthibitisha kwamba malango mawili yanalinda na kuwasilisha sehemu hiyo, na hausemi chochote kuhusu kama programu ya juu inathibitisha watumiaji wake au inasimba kile inachohifadhi. Hizo ni udhibiti tofauti wenye ushahidi tofauti, na runbook hukamilika tu wakati mtu anayefuata anaweza kuirudia kutoka kwa maelezo.