IPsec-க்குள் IPsec: வெளிப்புற சுரங்கப்பாதை எந்த முகவரிகளை எடுத்துச் செல்ல வேண்டும்

இரண்டு அடுக்குகளும் வெவ்வேறு இயந்திரங்களில் முடிவடையும்போது உள்ளடங்கிய IPsec பற்றி சிந்திப்பது எளிது. நான்கு நுழைவாயில்கள், இரண்டு சுரங்கப்பாதைகள், மற்றும் வடிவமைப்பு வேலை செய்கிறதா என்பதைத் தீர்மானிக்கும் ஒரு கேள்வி: உள் சுரங்கப்பாதை பாக்கெட்டை முடித்த பிறகு வெளிப்புற சுரங்கப்பாதை உண்மையில் என்ன பார்க்கிறது? அதற்கு பதில் சொல்லுங்கள், தேர்வான்கள், வழிமுறைகள் மற்றும் சிக்கல் தீர்வு வரிசை தாமாகவே வரும். தவறு செய்தால் தொழில்நுட்ப ரீதியாக இயங்கும் சுரங்கப்பாதையை பிழைதிருத்தி ஒரு நாள் கழிப்பீர்கள்.

நான்கு நுழைவாயில் மாதிரி

வெளிப்புற நுழைவாயில்கள் A மற்றும் B இரு தளங்களுக்கு இடையே முதல் சுரங்கப்பாதையை உருவாக்குகின்றன. A-வின் பின்னால் பயண முகவரி 10.60.0.2 கொண்ட உள் நுழைவாயில் C, B-யின் பின்னால் பயண முகவரி 10.70.0.2 கொண்ட உள் நுழைவாயில் D உள்ளன. பயன்பாட்டு பிணையங்கள் C மற்றும் D-க்கு பின்னால் வாழ்கின்றன, மேலும் எடுத்துக்காட்டில் உள்ள ஒவ்வொரு முகவரியும் வேண்டுமென்றே ஒன்றுடன் ஒன்று மேலெழுவதில்லை.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

அடுக்குகளை நான்கு ஹோஸ்ட்களாகப் பிரிப்பது ஒவ்வொரு இயந்திரமும் ஒரு எல்லையைச் செயல்படுத்துகிறது என்பதாகும். இரண்டு அடுக்குகளையும் ஒரே ஹோஸ்டில் இயக்கும்போது ஒரே இயந்திரத்தில் இரண்டு கொள்கைத் தொகுப்புகள், இரண்டு வழித்தட அட்டவணைகள் மற்றும் இரண்டு தோல்வி முறைகளை ஒருங்கிணைக்க வேண்டும், இது சாத்தியமானது ஆனால் கவனிக்க மிகவும் கடினம்.

ஒவ்வொரு அடுக்கும் அதன் சொந்த பாதுகாப்பை மட்டுமே நீக்குகிறது

C, D-க்காக ஒரு பயன்பாட்டு பாக்கெட்டை மறையாக்குகிறது. முடிவு C-யிலிருந்து D-க்கு முகவரியிடப்படுகிறது, அதுவே A-வை அடைகிறது. அதற்குப் பிறகு அனைத்தும் அந்த மறுஎழுத்தைச் சார்ந்துள்ளது.

A அதை B-க்காக மீண்டும் மறையாக்குகிறது. B வெளிப்புற அடுக்கை மறைகுறைக்கிறது, C-யிலிருந்து D-க்குச் செல்லும் பாக்கெட்டைப் பார்க்கிறது, அதை இன்னும் மறையாக்கப்பட்ட நிலையிலேயே அனுப்புகிறது. D உள் பாதுகாப்பை நீக்கி பயன்பாட்டு பாக்கெட்டை வழங்குகிறது.

எனவே A மற்றும் B உள் முடிவுப் புள்ளிகளையும் அவற்றின் மெட்டாடேட்டாவையும் பார்க்கின்றன, ஆனால் பயன்பாட்டு பேலோடை மறைகுறைக்கும் தரப்புகள் அவை அல்ல. இது வடிவமைப்பின் உண்மையான பண்பு, C, D அல்லது பயன்பாட்டு ஹோஸ்ட்கள் நம்பகமானவை என்பது அல்ல.

வெளிப்புற தேர்வான்கள் உள் நுழைவாயில்களைப் பெயரிடுகின்றன

இங்குதான் இத்தகைய கட்டுமானங்களில் பெரும்பாலானவை தோல்வியடைகின்றன. கொள்கை அடிப்படையிலான வெளிப்புற சுரங்கப்பாதைக்கு, நீங்கள் பேச்சுவார்த்தை நடத்தும் தேர்வான்கள் A மற்றும் B உண்மையில் கையாளும் முகவரிகளைக் கொண்டிருக்க வேண்டும்: 10.60.0.2/32 மற்றும் 10.70.0.2/32, சரியான உள்ளூர் மற்றும் தொலை வரிசையில்.

இறுதி பயன்பாட்டு துணைப் பிணையங்களை வெளிப்புற தேர்வான்களில் வைப்பது வேலை செய்யாது, ஏனெனில் பாக்கெட் A-வை அடையும் நேரத்தில் உள் உறையிடல் A பாதுகாக்க வேண்டியதை ஏற்கனவே மீண்டும் எழுதிவிட்டது. அப்போது வெளிப்புற கொள்கை எதனுடனும் பொருந்தாது, சுரங்கப்பாதை தரவை எடுத்துச் செல்லாமல் மேலெழும்.

வெளிப்புற அனுமதியை UDP 500-க்கு சுருக்க வேண்டாம். உள் இணைப்புக்கு அதன் சொந்த தரவு பாதை உள்ளது, அது பேச்சுவார்த்தைக்கு உட்பட்டு ESP அல்லது UDP உறையிடலைப் பயன்படுத்துகிறது, வெளிப்புற கொள்கை அந்த நெறிமுறையை அனுமதிக்க வேண்டும்.

ஒவ்வொரு நுழைவாயிலிலும் swanctl --list-sas கொண்டு முடிவைச் சரிபார்த்து, குழந்தை பாதுகாப்புச் சங்கங்கள் நீங்கள் நோக்கிய முகவரிகளைப் புகாரளிக்கின்றனவா, நீங்கள் கருதியவற்றை அல்ல என்பதை உறுதிப்படுத்துங்கள். பட்டியல் பயன்பாட்டு துணைப் பிணையங்களைக் காட்டினால், வெளிப்புற கொள்கை தவறான அடுக்குக்கு எழுதப்பட்டுள்ளது. வழித்தடத்தை பிழைதிருத்தும் முன் தேர்வான்களைச் சரிசெய்யுங்கள், ஏனெனில் வழித்தடம் சரியாகத் தெரியும், கணக்குகள் நகராது.

அனுப்புதல் மற்றும் மீள்சுழற்சிப் பொறி

தேர்வான்கள் வழித்தடத்தை மாற்றாது. A மற்றும் B C மற்றும் D இடையே இரு திசைகளிலும் போக்குவரத்தை அனுப்ப வேண்டும், அதாவது IP அனுப்புதல் இயக்கப்பட்டது, சுரங்கப்பாதையை நோக்கும் வழித்தடங்கள் மற்றும் மறுபக்கத்தில் இருக்கும் திரும்பும் பாதை.

வெளிப்புற சுரங்கப்பாதை XFRM இடைமுகங்களைப் பயன்படுத்தினால், வழித்தடங்கள் இடைமுகத்தைத் தேர்ந்தெடுக்கின்றன, பேச்சுவார்த்தை நடத்திய கொள்கைகள் அது எதை எடுத்துச் செல்கிறது என்பதை இன்னும் கட்டுப்படுத்துகின்றன. ஒரு இடைமுகம் பாதுகாக்கப்பட்ட வரம்பை விரிவாக்காது; கர்னல் பாக்கெட்டை எவ்வாறு எடுக்கிறது என்பதை மட்டுமே மாற்றுகிறது.

பொறி மீள்சுழற்சி. B-யின் வெளிப்புற முடிவுப் புள்ளிக்கு A-வின் வழித்தடம் A உருவாக்கும் சுரங்கப்பாதையை அல்ல, கீழ் பிணையத்தைப் பின்பற்ற வேண்டும், இல்லையேல் உறையிடல் தனக்குள்ளேயே பயணிக்க முயலும், இணைப்பு ஒருபோதும் முடிவடையாது.

அடுக்குகளைச் சேர்ப்பதற்கு முன் மொழிபெயர்ப்பை ஆராயுங்கள்

வேறு எதையும் சரிசெய்வதற்கு முன் A மற்றும் B-யில் உள்ள எந்த மூல NAT-ஐயும் பாருங்கள். IPsec கொள்கை பயன்படுத்தப்படுவதற்கு முன் C-யின் முகவரியை மீண்டும் எழுதும் விதி ஒப்புக்கொள்ளப்பட்ட தேர்வான்களை உடைக்கலாம், மேலும் D மறுபக்கத்தில் பெறுவதையும் மாற்றலாம்.

இரண்டு அடுக்குகள் இருப்பதால் பரந்த மறைப்பு மேலும் பாதுகாப்பாகாது. தொலை முனை எந்த முகவரியைப் பார்க்கிறது என்பதை அது மறைக்கிறது, சுரங்கப்பாதை இயங்கி செயலி இயங்காதபோது சரியாக அந்தத் தகவல்தான் தேவை.

NAT விதி உண்மையில் தேவைப்பட்டால், ஒவ்வொரு தரப்பும் எந்த முகவரியுடன் பேசுகிறது என்று நினைக்கிறது என்பதை எழுதுங்கள். அந்த ஒரு வரியே சுரங்கப்பாதையா மொழிபெயர்ப்பா குற்றம் என்பதற்கான விவாதத்தின் பெரும்பகுதியைத் தீர்க்கிறது. ஒரு வருடம் கழித்து விதி நீக்கப்படும்போது அடுத்த பொறியாளர் எங்கு பார்க்க வேண்டும் என்பதையும் அது சொல்கிறது. பிங் இவற்றில் எதையும் செய்யாது.

fail-closed-ஐ நிரூபித்து MTU-வைச் சரிபாருங்கள்

ஒரு வழித்தடம் மறைவது தானாகவே fail-closed கொள்கை அல்ல. மற்றொரு அட்டவணை, இயல்புநிலை வழித்தடம் அல்லது கொள்கை விதி அமைதியாக மாற்றை வழங்கலாம், அதை அறிய ஒரே வழி வெளிப்புற சுரங்கப்பாதையை இறக்கி பயன்பாட்டு போக்குவரத்து என்ன செய்கிறது என்பதைக் கவனிப்பதுதான். தற்செயலாகக் கண்டுபிடிப்பதற்குப் பதிலாக பராமரிப்பு சாளரத்தில் வேண்டுமென்றே செய்யுங்கள்.

மூன்று நிலைகளைச் சோதியுங்கள்: வெளிப்புற சுரங்கப்பாதை கீழே, உள் சுரங்கப்பாதை கீழே, மற்றும் இரண்டும் திரும்பிய பிறகு மீட்பு. ஒவ்வொரு நுழைவாயிலிலும் கொள்கை கணக்குகளைப் பயன்படுத்துங்கள், ஏனெனில் நிறுவப்பட்ட இரண்டு IKE அமர்வுகள் கட்டுப்பாட்டு மட்டப் பேச்சுவார்த்தை வெற்றியடைந்தது என்பதை மட்டுமே நிரூபிக்கின்றன.

இரண்டு உறையிடல்களுக்கும் பட்ஜெட் வையுங்கள். இயங்கும் IKE சிறிய பாக்கெட்டுகளின் விளைவு, இரண்டு தலைப்புகள் சேர்க்கப்பட்ட பிறகு முழு அளவு பயன்பாட்டு பாக்கெட்டுகள் இன்னும் தோல்வியடையலாம்; எண்கள் கூட்டப்படும் என்று கருதுவதற்குப் பதிலாக உண்மையான பாதையில் அறியப்பட்ட பேலோட் அளவுடன் சோதியுங்கள். கணிதம் எளிது, பாதை அல்ல.