வீட்டு ரவுட்டரில் IPsec பாஸ்-த்ரூ: அது உண்மையில் என்ன செய்கிறது

ரவுட்டரின் பாஸ்-த்ரூ சுவிட்சுகள் அவற்றின் பின்னால் உள்ள சாதனத்திற்கான அனுப்பீட்டுச் சலுகைகள், VPN சேவைகள் அல்ல. அவை ரவுட்டரை வாடிக்கையாளராகப் பதிவு செய்யவில்லை, சான்றுகளை வைத்திருக்கவில்லை, வீட்டில் உள்ள ஒவ்வொரு சாதனத்தையும் தொலை வெளியேற்றத்தின் வழியாகத் தள்ளவில்லை. அவை செய்வது ஒரு நெறிமுறை முகவரி மொழிபெயர்ப்பையும் வடிகட்டிகளையும் எப்படிக் கடக்கிறது என்பதை வடிவமைப்பதே. அது தெளிவானபின், சுவிட்சைச் சோதிப்பதும் அணைத்து வைப்பதும் எளிது.

ரவுட்டர் உண்மையில் என்ன செய்கிறது

ரவுட்டர் ஒரு வாடிக்கையாளருக்கும் ஒரு IPsec இணைக்கும் நடுவே அமர்ந்து, புரிந்துகொள்ள ஒருபோதும் வடிவமைக்கப்படாத பாக்கெட்டுகளை அனுப்புகிறது. உற்பத்தியாளர்கள் இந்த அம்சத்தைக் குறைந்தது மூன்று வழிகளில் செயல்படுத்துகிறார்கள்: நிலையைக் கண்காணிக்கும் அல்லது மீண்டும் எழுதும் நெறிமுறை உதவியாளர், ESP வீழ்த்துவதை நிறுத்தும் வடிகட்டி விதிவிலக்கு, அல்லது பழைய வாடிக்கையாளர்களுக்கான இணக்க முறை. வலை இடைமுகத்தின் லேபிள் மூன்றில் எது உங்களிடம் உள்ளது என்று அரிதாகவே சொல்கிறது. firmware குறிப்புகள் அல்லது பாக்கெட் பிடிப்பு மட்டுமே அதைச் சொல்லும்.

உதவியாளர் விசயங்களை மேலும் மோசமாக்கலாம். பழைய ஓட்டத்திற்காக எழுதப்பட்ட உதவி, மொழிபெயர்ப்பை ஏற்கனவே சரியாகக் கையாளும் வாடிக்கையாளருக்கு சில நேரங்களில் இடையூறாகிறது. நவீன வாடிக்கையாளர் விருப்பத்தை அணைத்து இயங்கினால், அதை அணைத்து வைப்பதே சிறந்த அமைப்பு.

பாஸ்-த்ரூ ஒருபோதும் ரவுட்டருக்கு இணைகளின் விசைகளைத் தருவதில்லை. அது இன்னும் வெளிப்புற முகவரிகளையும் துறைமுகங்களையும் பார்க்கிறது, இன்னும் தனது சொந்த அனுப்பீட்டுக் கொள்கையை அவற்றில் பயன்படுத்துகிறது.

NAT மற்றும் NAT-T பாதையை தீர்மானிக்கின்றன

IPsec முகவரி மொழிபெயர்ப்பைத் தாண்டி வாழும் வகையில் கட்டப்படவில்லை, எனவே தரநிலைகள் ஒரு உறையைச் சேர்த்தன. NAT டிராவர்சல் ESP ஐ UDP உள்ளே மூடி, சாதாரண NAT அட்டவணை ஓட்டத்தைச் சுமக்க அனுமதிக்கிறது, மேலும் பேச்சுவார்த்தை IKE நேரத்தில் அந்த மாற்றத்திற்கு ஒப்புக்கொள்கிறது (RFC 3948). IKE தானே UDP 500 ஐப் பயன்படுத்துகிறது, ஆனால் மூடப்பட்ட பாதை பொதுவாக UDP 4500 ஐப் பயன்படுத்துகிறது.

எனவே நெறிமுறை 50 ஐ மட்டும் அனுமதிக்கும் firewall விதி மொழிபெயர்க்கப்பட்ட பாதையில் போதாது. 4500 ஐத் தடுப்பது உறை எதற்காக உள்ளதோ அந்த நிலையை உடைக்கிறது, 500 ஐத் தடுப்பது எந்தச் சுரங்கப்பாதையும் உருவாவதற்கு முன்பே பேச்சுவார்த்தையை நிறுத்துகிறது. இரு திசைகளும் முக்கியம், ஏனெனில் நிலையைக் கண்காணிக்கும் ரவுட்டர் பொதுவாகக் கோரிக்கையைப் பார்த்த பிறகே பதிலை அனுமதிக்கிறது. ஒரு துறைமுகத்தை அடைவது அங்கீகாரத்தை முடிப்பதற்குச் சமம் அல்ல, பாதுகாக்கப்பட்ட போக்குவரத்தை அனுப்புவதற்கும் சமம் அல்ல.

பழைய ஏற்பாடுகள் போதுமான அளவு வேறுபடுவதால் அவற்றுக்காக எழுதப்பட்ட வழிகாட்டி தவறாக வழிநடத்தலாம். வாடிக்கையாளர் இரு முறைகளையும் வழங்கும்போது, அதிகத் தேடல் முடிவுகள் உள்ளதை அல்ல, உங்கள் இணை ஆவணப்படுத்தியதைச் சோதிக்கவும்.

தோல்வியடையும் நிலையைக் கண்டறியுங்கள்

சிக்கலைப் பேச்சுவார்த்தை, அங்கீகாரம், சேய் பாதுகாப்பு மற்றும் உள் அனுப்பீடு எனப் பிரித்து, பிறகு ஒரு கட்டத்திற்கு ஒரு முறை சான்றுகளைச் சேகரிக்கவும். முடிவைத் தற்காலிகமாக மாற்றும் மறுதொடக்கம் சில நிலை ஈடுபட்டிருந்தது என்பதை மட்டுமே நிரூபிக்கிறது.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

பிடிப்பு பரிமாற்றம் இணையை அடைகிறதா, பதில்கள் திரும்பி வருகின்றனவா என்பதைக் காட்டுகிறது, இது வடிகட்டிச் சிக்கலைச் சான்றுச் சிக்கலிலிருந்து பிரிக்கிறது. நிலைப் பட்டியல் நிறுவப்பட்ட பாதுகாப்புத் தொடர்புகளைக் காட்டுகிறது, எனவே முயற்சிக்குப் பின் வெற்றுப் பட்டியல் வழித்தடத்தை அல்ல, பேச்சுவார்த்தையைச் சுட்டுகிறது. கொள்கைப் பட்டியல் எந்தத் தேர்வுகள் நிறுவப்பட்டுள்ளன என்பதைக் காட்டுகிறது, அங்குதான் துணை வலைக்கு வெளியே உள்ள இலக்கு விலக்கப்படுகிறது. ரவுட்டரைத் தொடும் முன் xfrm இன் இரு வெளியீடுகளையும் படியுங்கள், ஏனெனில் அவை ரவுட்டர் எதை அனுமதிக்கிறது என்பதை அல்ல, புரவலன் எதை நம்புகிறது என்பதை விவரிக்கின்றன.

பாக்கெட்டுகள் வெளியேறி எதுவும் திரும்பவில்லை என்றால், பிடிப்பை ரவுட்டரின் WAN பக்கத்திற்கு நகர்த்துங்கள். இரு பிடிப்புகளையும் ஒப்பிடுவது ஊகிக்காமல் வீழ்த்தப்படும் இடத்தைக் கண்டறிகிறது.

தேவையற்றதை அணையுங்கள்

ஒரு மடிக்கணினி இயங்குவது ரவுட்டர் ஒரே நேரத்தில் பல வாடிக்கையாளர்களைக் கையாள்கிறது என்பதை நிரூபிக்காது. ஒவ்வொரு வாடிக்கையாளரும் தனது சொந்த மொழிபெயர்ப்பு நிலையையும் தனது சொந்தப் பேச்சுவார்த்தையையும் உருவாக்குகிறார், சில உதவியாளர்கள் ஒரு ஓட்டத்தை மட்டுமே கண்காணிக்கின்றன. உங்களுக்கு உண்மையில் தேவையான ஒரே நேர அமர்வுகளின் எண்ணிக்கையை நீங்கள் உண்மையில் பயன்படுத்தும் வலையமைப்புகளில் சோதியுங்கள். முதல் ஒன்று நன்றாக இயங்கும்போது இரண்டாவது வாடிக்கையாளர் தோல்வியடைந்தால், அதுவே கண்டுபிடிப்பு, நிலையற்ற சுரங்கப்பாதை அல்ல.

பிடிப்பு தேவை என்று காட்டினால் மட்டுமே விருப்பத்தை இயக்கத்தில் வைத்திருங்கள். முடிவின் அருகில் firmware பதிப்பைப் பதிவு செய்யுங்கள், ஏனெனில் இந்த நடத்தைகள் வெளியீடுகளுக்கு இடையே மாறுகின்றன. இலக்கு நீங்கள் சரிபார்த்த வாடிக்கையாளர் சுரங்கப்பாதை, நம்பிக்கையுடன் இயக்கிய சுவிட்ச் அல்ல.