Jinsi IPsec inayotegemea njia inavyofanya kazi na kiolesura cha XFRM

IPsec inayotegemea njia huikabidhi jedwali la njia uamuzi ambao hapo awali ulifanywa na wateuzi wa sera. Kwenye Linux, sehemu inayowezesha hili ni kiolesura cha XFRM: kifaa pepe ambacho trafiki yake inalinganishwa na hali ya IPsec kwa kitambulisho cha kiolesura badala ya kiteuzi. Kuunda kimoja kunahitaji amri moja na hakithibitishi chochote kuhusu kuwepo kwa handaki. Kifaa ni ndoano kati ya uelekezaji wa njia na sera ya usalama, na pande zote mbili za ndoano hiyo lazima zisanidiwe kabla ya kitu chochote kulindwa.

Kifaa ni nini na si nini

Kiolesura cha XFRM ni mpini wa uelekezaji. Pakiti zinazoelekezwa ndani yake hulinganishwa na sera za XFRM zinazorejelea kitambulisho hicho cha kiolesura, na ikiwa sera na hali zipo, hufungwa ndani ya bahasha. Bila hizo kiolesura kipo, vihesabio vimesimama, na trafiki inaenda mahali pasipo na faida.

Huu ni mgawanyiko wa kwanza wa uchunguzi. Njia ya kuingia kwenye kifaa ni ukweli wa uelekezaji, hali iliyosakinishwa ni ukweli wa usalama, na kihesabio kinachopanda kwenye kifaa si kimoja wala kingine. Watu wanaposema handaki iko juu kwa sababu kiolesura kinaonyesha UP, wanaeleza bendera za kiungo za kifaa pepe ambacho hakina mwenza wake mwenyewe. Bendera inamaanisha kifaa kiliundwa na kuwezeshwa, si zaidi.

Ukingo mwingine: kitambulisho cha kiolesura si jina. Vifaa viwili vyenye majina yanayofanana na vitambulisho tofauti hazishirikiani hali, na muunganisho uliosanidiwa na kitambulisho kisicho sahihi husakinisha hali ambayo hakuna njia itakayotumia kamwe.

Jenga kimoja kwa mpangilio sahihi

Anza na kifaa cha nje na nambari ambayo pia utaiweka kwenye usanidi wa daemon. Mfano unatumia eth0 kama kiolesura cha nje na 42 kama kitambulisho, anwani ambazo unapaswa kuzibadilisha na zako.

Inua kifaa, kisha thibitisha kitambulisho ambacho kerneli ilirekodi kabla ya kugusa usanidi wa VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Sasa sanidi muunganisho katika strongSwan kwa kitambulisho hicho hicho, kwa kuwa daemon lazima isakinishe sera na hali zinazorejelea. Weka wateuzi wa trafiki wa ndani na wa mbali kwenye anuwai unayokusudia kuelekeza, kisha elekeza anuwai hiyo kwenye kifaa. Usanidi wa daemon na jedwali la njia lazima zikubaliane kuhusu kitambulisho na maeneo ya mwisho, na hakuna kinachotoa kingine.

Weka IKE na ESP nje ya njia ya handaki

Njia chaguomsingi inayoelekea kwenye kifaa cha XFRM hukamata pakiti zilizofungwa ndani ya bahasha na trafiki zinazozibeba. Matokeo ni mzunguko: lango hujaribu kutuma ESP yake mwenyewe kupitia handaki ambayo ESP inapaswa kuijenga.

Suluhisho ni njia mahususi zaidi kwa anwani ya nje ya mwenza kupitia kiolesura cha kimwili, ambayo hushinda ile chaguomsingi kwa sababu inalingana na biti zaidi. Uelekezaji unaotegemea alama hufanya kazi hiyo hiyo wakati handaki kadhaa zinashiriki jedwali moja, na strongSwan huandika mbinu zote mbili kwa usambazaji unaotegemea njia.

Chochote utakachochagua, thibitisha kwamba pakiti ya nje inatoka bila kufungwa ndani ya bahasha. Ukaguzi wa haraka ni kupiga ping kwa anwani ya nje ya mwenza baada ya handaki kupanda; ikiwa hilo linashindikana wakati kiolesura kiko juu, shuku kunaswa badala ya kufikiwa. Mantiki hiyo hiyo inatumika kwa mlango wa IKE, kwa kuwa trafiki ya UDP ya daemon yenyewe haipaswi kuelekezwa kwenye kifaa inachojaribu kuanzisha.

Kagua vihesabio mahali pawili kabla ya kulaumu usimbaji fiche

Vihesabio vya kiolesura na vihesabio vya hali hupima hatua tofauti. Pakiti zinazoelekezwa kwenye kifaa huongeza kifaa hata wakati hakuna hali inayolingana, ilhali vihesabio vya hali husogea kwa trafiki iliyofungwa ndani ya bahasha kwa kweli pekee.

Soma vyote viwili, kisha soma mtazamo wa daemon kuhusu muunganisho wa mtoto:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Vihesabio vya kifaa vinavyopanda huku matokeo ya hali yakiwa matupu humaanisha kwamba uelekezaji unafanya kazi na sera hailingani, kwa kawaida kosa la kitambulisho au kiteuzi. Vihesabio vya hali vinavyopanda huku upande wa mbali ukitoa taarifa yoyote humaanisha kwamba pakiti zinatoka lakini hazifiki au hushindikana uthibitishaji, jambo linaloelekea kwenye njia au usanidi wa mwenza. Muunganisho wa mtoto ulioorodheshwa bila trafiki ni tatizo la kiteuzi upande mmoja, si sifa iliyovunjika.

Amua nani anasakinisha njia

Wamiliki wawili wa jedwali moja la njia ni chanzo cha kawaida cha kuyumbayumba. Ikiwa daemon inasakinisha njia kiotomatiki, msimamizi wako wa mtandao hapaswi pia kusakinisha njia chaguomsingi kupitia kifaa kimoja, na njia ya mkono iliyoongezwa na hati ya kuanzisha itaondolewa mara ijayo daemon itakaposanidiwa upya.

Chagua mmiliki mmoja na uandike. Wakati daemon inamiliki njia, weka hati ya kuanzisha nje ya jedwali na acha ufafanuzi wa muunganisho ueleze wateuzi wa trafiki. Wakati msimamizi wa mtandao anazimiliki, zima usakinishaji wa kiotomatiki na ukubali kwamba daemon haitarekebisha njia inayokosekana wakati wa kuunganisha tena.

Kanuni za upelekaji mbele na ukuta wa moto ni uamuzi tofauti juu ya hii, kwa kuwa lango linalopitisha trafiki ya wageni wengine linahitaji zote mbili. IPsec inayotegemea njia hufanya trafiki hiyo iwe rahisi kuelezeka kwa zana za kawaida za uelekezaji; haifanyi tabaka la sera kuwa la hiari.