IPsec kupita kwenye router ya nyumbani: inafanya nini hasa

Swichi za kupita za router ni idhini za upelekaji kwa kifaa kilicho nyuma yao, si huduma za VPN. Hazisajili router kama mteja, hazihifadhi vitambulisho na hazisukumi kila kifaa ndani ya nyumba kupitia njia ya kutoka ya mbali. Kinachofanya ni kuunda jinsi itifaki moja inavyovuka tafsiri ya anwani na vichujio. Hilo likiwa wazi, swichi ni rahisi kujaribiwa na rahisi kuachwa imezimwa.

Router inafanya nini hasa

Router inakaa kati ya mteja na mwenza wa IPsec na kupeleka pakiti ambazo haikuwa imeundwa kuzielewa. Watengenezaji hutekeleza kipengele hiki kwa angalau njia tatu: msaidizi wa itifaki anayefuata au kuandika upya hali, ubaguzi wa kichujio unaosimamisha kutupa ESP, au hali ya uoanifu kwa wateja wa zamani. Lebo kwenye kiolesura cha wavuti mara chache husema ni ipi kati ya tatu uliyo nayo. Ni maelezo ya firmware au nasa ya pakiti tu yatakayosema.

Msaidizi anaweza pia kufanya mambo kuwa mabaya zaidi. Msaada ulioandikwa kwa mtiririko wa zamani wakati mwingine huingilia mteja ambaye tayari anashughulikia tafsiri kwa usahihi. Mteja wa kisasa anapofanya kazi na chaguo limezimwa, kuachwa limezimwa ndiyo usanidi bora.

Kupita kamwe hakumpi router funguo za wenzi. Bado inaona anwani na bandari za nje, na bado inatumia sera yake ya upelekaji juu yao.

NAT na NAT-T huamua njia

IPsec haikujengwa kustahimili tafsiri ya anwani, kwa hiyo viwango viliongeza kifuniko. NAT traversal hufunika ESP ndani ya UDP, ikiruhusu jedwali la kawaida la NAT kubeba mtiririko, na mazungumzo yanakubaliana juu ya mabadiliko hayo wakati wa IKE (RFC 3948). IKE yenyewe hutumia UDP 500, wakati njia iliyofunikwa kwa kawaida hutumia UDP 4500.

Ndiyo sababu kanuni ya firewall inayoruhusu itifaki 50 pekee haitoshi kwenye njia iliyotafsiriwa. Kuzuia 4500 huvunja kisa ambacho kifuniko kipo kwa ajili yake, na kuzuia 500 husimamisha mazungumzo kabla ya handaki yoyote kuundwa. Mielekeo yote miwili ni muhimu, kwa sababu router inayofuata hali kwa kawaida huruhusu jibu tu baada ya kuona ombi. Kufikia bandari si sawa na kumaliza uthibitishaji, na pia si sawa na kupeleka trafiki iliyolindwa.

Mipangilio ya zamani inatofautiana vya kutosha hivi kwamba mwongozo ulioandikwa kwa ajili yao unaweza kupotosha. Mteja anapotoa hali zote mbili, jaribu ile inayoandikwa na mwenza wako na si ile yenye matokeo mengi ya utafutaji.

Pata hatua inayoshindikana

Gawanya tatizo katika mazungumzo, uthibitishaji, ulinzi wa mtoto na upelekaji wa ndani, kisha kusanya ushahidi kwa hatua moja kwa wakati mmoja. Kuwasha upya kunakobadilisha matokeo kwa muda kunathibitisha tu kwamba hali fulani ilihusika.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Nasa inaonyesha kama mabadilishano yanafika kwa mwenza na kama majibu yanarudi, jambo linalotenganisha tatizo la kichujio na tatizo la vitambulisho. Orodha ya hali inaonyesha uhusiano wa usalama ulioanzishwa, kwa hiyo orodha tupu baada ya jaribio inaelekeza kwenye mazungumzo na si uelekezaji. Orodha ya sera inaonyesha ni wateuzi gani wamewekwa, na hapo ndipo lengwa nje ya subneti linatengwa. Soma matokeo mawili ya xfrm kabla ya kugusa router, kwa sababu yanaeleza kile mwenyeji anachokiamini na si kile router inaruhusu.

Pakiti zikitoka na hakuna kinachorudi, hamishia nasa kwenye upande wa WAN wa router. Kulinganisha nasa mbili kunabainisha mahali pa kutupa bila kukisia.

Zima usichokihitaji

Laptip moja inayofanya kazi haithibitishi kwamba router inahudumia wateja kadhaa kwa wakati mmoja. Kila mteja huunda hali yake ya tafsiri na mazungumzo yake, na baadhi ya wasaidizi hufuata mtiririko mmoja pekee. Jaribu idadi ya vipindi vya wakati mmoja unavyohitaji kweli, kutoka kwenye mitandao unayotumia kweli. Ikiwa mteja wa pili atashindwa wakati wa kwanza unastawi, hiyo ndiyo matokeo, si handaki isiyo imara.

Acha chaguo liwe imewashwa tu wakati nasa inaonyesha linahitajika. Andika toleo la firmware kando ya matokeo, kwa sababu tabia hizi hubadilika kati ya matoleo. Lengo ni handaki ya mteja uliyoithibitisha, si swichi uliyoiwasha kwa matumaini.