IPsec ESP: அது எதை எடுத்துச் செல்கிறது, அது பாய்கிறது என்பதை எப்படி நிரூபிப்பது
ESP சுரங்கப்பாதை பயன்முறையில் உள் IP பாக்கெட்டை மூடி, SPI மூலம் அதன் இணைப்பை அடையாளம் காட்டுகிறது. நிலையைப் படித்து, பின்னர் ஒரு ஓட்டம் கணக்குகளை எப்படி நகர்த்துகிறது என்பதைப் பாருங்கள்.
ESP IPsec VPN இல் போக்குவரத்தை எடுத்துச் செல்கிறது, அதன் runbook ஒரு விதியுடன் தொடங்குகிறது: கொள்கையை மாற்றும் முன் பாதுகாப்பு இணைப்பைப் படியுங்கள். விளக்கப்படாத ESP நடத்தையின் பெரும்பகுதி பொருந்தாத தேர்வி, படிப்பதற்குப் பதிலாக ஊகிக்கப்பட்ட பயன்முறை, அல்லது ஒரு ஓட்டம் அனுப்பப்படும்போது யாரும் சரிபார்க்காத கணக்கு ஆகியவற்றுக்குத் திரும்புகிறது. கீழேயுள்ள மூன்று படிகள் எது எதை எடுத்துச் செல்கிறது என்பதை நிறுவுகின்றன, ஒரு ஓட்டம் அதைப் பயன்படுத்துகிறது என்பதை நிரூபிக்கின்றன, நினைவாற்றலைச் சாராத ஒரு பின்னடைவை விட்டுச் செல்கின்றன. ஒவ்வொரு படியும் எழுதத் தகுந்த ஒரு அவதானிப்பைத் தருகிறது.
படிக்கும் முன் புலங்களை அறிந்து கொள்ளுங்கள்
ESP பாதுகாக்கப்பட்ட தரவுக்கு முன் தலைப்பையும் பின்னால் வால் பகுதியையும் வைக்கிறது. தலைப்பு, பெறுநர் எந்த இணைப்பைப் பயன்படுத்த வேண்டும் என்பதை அடையாளம் காட்டும் பாதுகாப்பு அளவுரு குறியீட்டையும், மீள்நிகழ்வைக் கண்டறிய வரிசை எண்ணையும் கொண்டுள்ளது; வால் பகுதியில் சைஃபருக்காகப் பேலோடைச் சீரமைத்து வைக்கும் நிரப்பு உள்ளது. வால் பகுதியில் உள்ள அடுத்த தலைப்புப் புலம் பாதுகாக்கப்பட்ட உள்ளடக்கம் என்ன என்பதைக் கூறுகிறது, அதனால் பெறுநர் தான் அவிழ்த்தது என்ன என்று அறிகிறார்.
பயன்முறை அந்தப் பாதுகாப்பின் உள்ளே என்ன இருக்கிறது என்பதை மாற்றுகிறது. சுரங்கப்பாதை பயன்முறையில் பாதுகாக்கப்பட்ட பொருள் முழுமையான உள் IP பாக்கெட், புதிய வெளித் தலைப்பு அதை இரு முனைகளுக்கிடையே எடுத்துச் செல்கிறது. போக்குவரத்து பயன்முறையில் பாதுகாப்பு தற்போதுள்ள பாக்கெட்டின் மேல் அடுக்குப் பேலோடை மூடுகிறது, எனவே திறக்க இரண்டாவது IP தலைப்பு இல்லை. எந்தப் பயன்முறை பயன்படுத்தப்படுகிறது என்பது உள்ளமைவின் உண்மை, விளக்கத்தின் விஷயம் அல்ல. வரைபடத்திலிருந்து ஊகிக்காமல் நிலைப் பதிவிலிருந்து படியுங்கள்.
இரு பயன்முறைகளில் எதுவும் பாக்கெட்டை வழங்க வேண்டிய வெளி முகவரியை மறைக்கவில்லை. அது வடிவமைப்பின் பண்பு, குறைபாடு அல்ல, அதனால்தான் பேலோடு ஒளிபுகாததாக இருந்தாலும் இடைநிலைப் பார்வையாளர் எந்த இரு முகவரிகள் பேசுகின்றன என்பதை இன்னும் காண முடிகிறது.
முதல் படி: நிலையைப் படியுங்கள், பின்னர் கொள்கை
நிலைப் பதிவுகள் விசைகளையும் கணக்குகளையும் வைத்திருக்கின்றன; கொள்கைப் பதிவுகள் யாருக்கு அவற்றைப் பயன்படுத்த அனுமதி உண்டு என்பதைத் தீர்மானிக்கும் தேர்விகளை வைத்திருக்கின்றன. Linux இல் இரண்டும் பாக்கெட் பிடிப்பு இல்லாமல் தெரிகின்றன, அந்த வரிசையில் படிப்பது இரு கேள்விகளையும் தனித்தனியாக வைத்திருக்கிறது.
ip xfrm state
ip xfrm policyநிலை வெளியீட்டில் இணைப்பின் மூலமும் இலக்கும், பயன்முறை, மேலும் மூடல் UDP துறைகளைக் காட்டுகிறதா என்பதையும் சரிபார்க்கவும். அந்தத் துறைகள் NAT கடத்தல் பயன்படுத்தப்படுகிறது என்பதைக் குறிக்கின்றன, இது இடைநிலை ஃபயர்வால் எதை அனுமதிக்க வேண்டும் என்பதை மாற்றுகிறது, ஆனால் முனைகளில் எந்தத் தேர்விகள் அல்லது விசைகள் பொருந்தும் என்பதை அல்ல.
பின்னர் கொள்கையில் உள்ள தேர்விகளைப் படியுங்கள். நீங்கள் சோதிக்கும் போக்குவரத்தை விடக் குறுகிய முன்னொட்டைக் குறிப்பிடும் தேர்வியே, வேலை செய்யும் சுரங்கப்பாதை ஒரு ஓட்டத்தைப் புறக்கணிப்பது போல் தோன்றுவதற்கான பொதுவான காரணம், தவறான நெறிமுறைக்கான தேர்வியும் அதே மௌனத்தைத் தருகிறது.
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
விற்பனையாளர் கருவிகள் அதே தகவலை மிகவும் வசதியான வடிவில் அச்சிடுகின்றன. ipsec statusall strongSwan இல் அது குழந்தை இணைப்புகள், அவற்றின் தேர்விகள் மற்றும் பைட் கணக்குகளைப் பட்டியலிடுகிறது, எந்தக் குழந்தையைப் பார்க்க வேண்டும் என்பது ஏற்கனவே தெரிந்தால் இது மூல xfrm வெளியீட்டைப் படிப்பதை விடப் பெரும்பாலும் விரைவானது.
இரண்டாம் படி: ஒரு ஓட்டம் கணக்குகளை நகர்த்துகிறது என்பதை நிரூபியுங்கள்
கணக்குகள் அவற்றை எது நகர்த்தியிருக்க வேண்டும் என்பதை அறிந்தால் மட்டுமே அர்த்தமுள்ளவை, எனவே தேர்வி நிச்சயமாக உள்ளடக்கும் மூலமும் இலக்கும் தேர்ந்தெடுத்து ஒரு பாதிப்பற்ற கோரிக்கையை அனுப்புங்கள். பின்னர் அதே பதிவை மீண்டும் படித்து ஒப்பிடுங்கள்.
ip -s xfrm state
tcpdump -ni any espஇரு வாசிப்புகள் வெவ்வேறு கதைகளைச் சொல்கின்றன. வெளிச் செல்லும் பக்கத்தில் அதிகரித்து ஆனால் உள்வரும் பக்கத்தில் ஒருபோதும் அதிகரிக்காத பாக்கெட்டுகள் விசைச் சிக்கலை அல்ல, அனுப்பல் அல்லது திரும்பும் பாதைச் சிக்கலைச் சுட்டுகின்றன, ஏனெனில் பாக்கெட் மூடப்பட்டு வெளியேறியது. எந்தக் கணக்கும் நகரவில்லை என்றால் போக்குவரத்து ஒருபோதும் கொள்கையுடன் பொருந்தவில்லை, பார்க்க வேண்டிய இடம் தேர்விதான்.
அதே படியில் உள்ள பிடிப்பு கம்பியில் உள்ள மூடலை உறுதிப்படுத்துகிறது, வெளிப் பாக்கெட்டுகள் ESP ஆகும் அல்லது UDP இல் மூடப்பட்ட ESP ஆகும் என்பதையும் சேர்த்து. ஓட்டத்தை உண்மையில் எடுத்துச் சென்ற முகவரிகளையும் அது காட்டுகிறது, அவை சில நேரங்களில் நீங்கள் படித்த உள்ளமைவில் உள்ளவற்றிலிருந்து வேறுபடுகின்றன.
மூன்றாம் படி: ஒரு விஷயத்தை மாற்றி பின்னடைவை வைத்திருங்கள்
எதையும் திருத்தும் முன் இணைப்பின் மூலம், இலக்கு, பயன்முறை, தேர்விகள் மற்றும் கணக்குகளைப் பதிவு செய்யுங்கள். ஒரு மாற்றம் நிலைமையை மோசமாக்கினால், ஊகத்திலிருந்து வேலை செய்யும் உள்ளமைவை மீண்டும் கட்டுவதற்குப் பதிலாக முந்தைய நிலையை மீட்டெடுக்க அந்தப் பதிவே அனுமதிக்கிறது. அந்தப் பதிவு எழுத ஒரு நிமிடம் எடுக்கும், பின்னர் ஒரு மணி நேரத்தைச் சேமிக்கும். மாற்றம் செய்த நபருக்குப் பிறகு எஞ்சியிருக்கும் ஒரே கலைப்பொருளும் அதுவே.
ஒரு தேர்வி அல்லது ஒரு அளவுருவை மாற்றி, மீண்டும் ஏற்றி, அதே ஓட்டத்தில் இரண்டாம் படியை மீண்டும் செய்யுங்கள். இணைப்பை நீக்குவது அதைப் பயன்படுத்தும் ஒவ்வொரு ஓட்டத்தையும் உடைக்கிறது, எனவே இலக்கு திருத்தமும் குழந்தையை மீண்டும் ஏற்றுவதும் என்ன நடக்கிறது என்பதைப் பார்க்க நிலையைக் காலி செய்வதை விட எப்போதும் கிட்டத்தட்ட சிறந்தது.
தேர்வி திருத்தத்தின் பின்னடைவு என்பது முந்தைய கொள்கையை மீட்டெடுத்து மீண்டும் ஏற்றுவது, தேர்வி உள்ளூர் அல்லாமல் பேச்சுவார்த்தைக்கு உட்பட்டதாக இருந்தால் எதிர் தரப்புக்கு பொருந்தும் மாற்றம் தேவைப்படலாம் என்ற நிபந்தனையுடன். அந்தச் சார்பை அது புதியதாக இருக்கும்போதே எழுதுங்கள், ஏனெனில் பாதி மீட்டெடுக்கப்பட்ட இணை இரு இறுதி நிலைகளில் எதையும் விடச் சிந்திக்கக் கடினம்.
இறுதியாக, எல்லையை நேர்மையாக வைத்திருங்கள். பாயும் ESP இணைப்பு இரு நுழைவாயில்கள் பகுதியைப் பாதுகாத்து வழங்குகின்றன என்பதை நிரூபிக்கிறது, மேலேயுள்ள பயன்பாடு தன் பயனர்களை அங்கீகரிக்கிறதா அல்லது சேமிப்பதை மறையாக்குகிறதா என்பதைப் பற்றி எதுவும் கூறவில்லை. அவை தனித்தனி சான்றுகளுடன் கூடிய தனித்தனி கட்டுப்பாடுகள், அடுத்த நபர் குறிப்புகளிலிருந்து அதை மீண்டும் செய்ய முடிந்தால் மட்டுமே runbook முடிகிறது.