XFRM இடைமுகத்துடன் பாதை அடிப்படையிலான IPsec எவ்வாறு செயல்படுகிறது

பாதை அடிப்படையிலான IPsec வழியமைப்பு அட்டவணைக்கு முன்பு கொள்கை தேர்விகள் எடுத்த முடிவை வழங்குகிறது. Linux-இல் இதை சாத்தியமாக்கும் பகுதி XFRM இடைமுகம்: தேர்விக்கு பதிலாக இடைமுக அடையாளங்காட்டியால் அதன் போக்குவரத்து IPsec நிலையுடன் பொருந்தும் மெய்நிகர் சாதனம். ஒன்றை உருவாக்க ஒரு கட்டளை மட்டுமே தேவை, அது சுரங்கப்பாதை உள்ளதா என்பதைப் பற்றி எதையும் நிரூபிக்காது. சாதனம் வழியமைப்புக்கும் பாதுகாப்புக் கொள்கைக்கும் இடையிலான ஒரு கொக்கி, எதையும் பாதுகாக்கும் முன் அந்தக் கொக்கியின் இரு பக்கங்களும் அமைக்கப்பட வேண்டும்.

சாதனம் என்ன, என்ன அல்ல

XFRM இடைமுகம் ஒரு வழியமைப்புக் கைப்பிடி. அதற்குள் வழியமைக்கப்படும் பொதிகள் அதே இடைமுக அடையாளங்காட்டியைக் குறிக்கும் XFRM கொள்கைகளுடன் பொருந்துகின்றன, கொள்கையும் நிலையும் இருந்தால் அவை உறையிடப்படுகின்றன. அவை இல்லாவிட்டால் இடைமுகம் இருக்கும், எண்ணிகள் அசையாமல் இருக்கும், போக்குவரத்து பயனற்ற இடத்திற்குச் செல்லும்.

இது முதல் கண்டறியும் பிரிவு. சாதனத்திற்குள் செல்லும் பாதை ஒரு வழியமைப்பு உண்மை, நிறுவப்பட்ட நிலை ஒரு பாதுகாப்பு உண்மை, சாதனத்தில் ஏறும் எண்ணி இவை இரண்டும் அல்ல. இடைமுகம் UP காட்டுவதால் சுரங்கப்பாதை மேலே உள்ளது என்று மக்கள் கூறும்போது, தனக்கென இணையில்லாத மெய்நிகர் சாதனத்தின் இணைப்புக் கொடிகளை விவரிக்கிறார்கள். கொடியின் பொருள் சாதனம் உருவாக்கப்பட்டு இயக்கப்பட்டது என்பது மட்டுமே.

மற்றொரு எல்லை: இடைமுக அடையாளங்காட்டி ஒரு பெயர் அல்ல. ஒத்த பெயர்களும் வேறுபட்ட அடையாளங்காட்டிகளும் கொண்ட இரு சாதனங்கள் நிலையைப் பகிர்வதில்லை, தவறான அடையாளங்காட்டியுடன் அமைக்கப்பட்ட இணைப்பு எந்தப் பாதையும் ஒருபோதும் பயன்படுத்தாத நிலையை நிறுவுகிறது.

சரியான வரிசையில் ஒன்றை உருவாக்குங்கள்

வெளிப்புற சாதனத்திலும், டீமன் அமைப்பிலும் நீங்கள் இடப்போகும் எண்ணிலும் தொடங்குங்கள். எடுத்துக்காட்டு வெளிப்புற இடைமுகமாக eth0 ஐயும் அடையாளங்காட்டியாக 42 ஐயும் பயன்படுத்துகிறது, இவற்றை உங்களுடையவற்றால் மாற்ற வேண்டும்.

சாதனத்தை மேலே எழுப்பி, VPN அமைப்பைத் தொடுவதற்கு முன் கர்னல் பதிவு செய்த அடையாளங்காட்டியை உறுதிப்படுத்துங்கள்:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

இப்போது strongSwan-இல் அதே அடையாளங்காட்டியுடன் இணைப்பை அமையுங்கள், ஏனெனில் டீமன் அதைக் குறிக்கும் கொள்கைகளையும் நிலைகளையும் நிறுவ வேண்டும். உள்ளூர் மற்றும் தொலை போக்குவரத்து தேர்விகளை நீங்கள் வழியமைக்க விரும்பும் வரம்பிற்கு அமைத்து, பின்னர் அந்த வரம்பை சாதனத்திற்குள் வழியமையுங்கள். டீமன் அமைப்பும் வழியமைப்பு அட்டவணையும் அடையாளங்காட்டி மற்றும் இலக்குகள் இரண்டிலும் ஒத்துப்போக வேண்டும், எதுவும் மற்றொன்றை வழங்காது.

IKE மற்றும் ESP ஐ சுரங்கப்பாதைப் பாதையிலிருந்து விலக்குங்கள்

XFRM சாதனத்தை நோக்கிய இயல்புநிலைப் பாதை உறையிடப்பட்ட பொதிகளையும் அவை சுமக்கும் போக்குவரத்தையும் பிடித்துக்கொள்கிறது. முடிவு ஒரு சுழற்சி: நுழைவாயில் ESP கட்ட வேண்டிய சுரங்கப்பாதை வழியாக தன் ESP ஐ அனுப்ப முயல்கிறது.

தீர்வு இணையின் வெளிப்புற முகவரிக்கான மிகவும் குறிப்பிட்ட பாதை இயற்பியல் இடைமுகம் வழியாக அமைப்பதாகும், அது அதிக பிட்களுடன் பொருந்துவதால் இயல்புநிலையை வெல்கிறது. பல சுரங்கப்பாதைகள் ஒரு அட்டவணையைப் பகிரும்போது குறி அடிப்படையிலான வழியமைப்பு அதே வேலையைச் செய்கிறது, மேலும் strongSwan பாதை அடிப்படையிலான பயன்பாடுகளுக்கு இரு அணுகுமுறைகளையும் ஆவணப்படுத்துகிறது.

நீங்கள் எதைத் தேர்ந்தெடுத்தாலும், வெளிப்புற பொதி உறையிடல் இல்லாமல் வெளியேறுவதை உறுதிப்படுத்துங்கள். சுரங்கப்பாதை மேலே வந்த பிறகு இணையின் வெளிப்புற முகவரிக்கு ping செய்வது விரைவான சோதனை; இடைமுகம் மேலே இருக்கும்போது அது தோல்வியடைந்தால், அடைவதை விட பிடிபடுவதை சந்தேகியுங்கள். அதே தர்க்கம் IKE துறைமுகத்திற்கும் பொருந்தும், ஏனெனில் டீமனின் சொந்த UDP போக்குவரத்து அது நிறுவ முயலும் சாதனத்திற்கு வழியமைக்கப்படக்கூடாது.

மறையாக்கத்தைக் குறை கூறும் முன் இரு இடங்களில் எண்ணிகளைச் சரிபாருங்கள்

இடைமுக எண்ணிகளும் நிலை எண்ணிகளும் வெவ்வேறு நிலைகளை அளவிடுகின்றன. சாதனத்திற்குள் வழியமைக்கப்படும் பொதிகள் எந்த நிலையும் பொருந்தாவிட்டாலும் சாதனத்தை அதிகரிக்கின்றன, அதேசமயம் நிலை எண்ணிகள் உண்மையில் உறையிடப்பட்ட போக்குவரத்திற்கு மட்டுமே நகர்கின்றன.

இரண்டையும் படியுங்கள், பின்னர் குழந்தை இணைப்பு பற்றிய டீமனின் பார்வையைப் படியுங்கள்:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

நிலை வெளியீடு காலியாக இருக்கும்போது சாதன எண்ணிகள் ஏறுவது வழியமைப்பு வேலை செய்கிறது ஆனால் கொள்கை பொருந்தவில்லை என்பதாகும், பொதுவாக அடையாளங்காட்டி அல்லது தேர்வி தவறு. தொலைப் பக்கம் எதையும் தெரிவிக்காதபோது நிலை எண்ணிகள் ஏறுவது பொதிகள் வெளியேறுகின்றன ஆனால் சேரவில்லை அல்லது அங்கீகாரத்தில் தோல்வியடைகின்றன என்பதாகும், இது பாதை அல்லது இணை அமைப்பைச் சுட்டுகிறது. பட்டியலிடப்பட்ட குழந்தை இணைப்பில் போக்குவரத்து இல்லாவிட்டால் அது ஒரு முனையில் உள்ள தேர்வி சிக்கல், உடைந்த மறையாக்கி அல்ல.

பாதைகளை யார் நிறுவுவது என்று முடிவு செய்யுங்கள்

ஒரு வழியமைப்பு அட்டவணைக்கு இரு உரிமையாளர்கள் என்பது ஊசலாட்டத்தின் வழக்கமான மூலம். டீமன் பாதைகளை தானாக நிறுவினால், உங்கள் வலையமைப்பு மேலாளரும் அதே சாதனம் வழியாக இயல்புநிலைப் பாதையை நிறுவக்கூடாது, மேலும் தொடக்கக் கட்டளைக்கோப்பு சேர்த்த கைமுறைப் பாதை அடுத்த முறை டீமன் மீளமைக்கப்படும்போது நீக்கப்படும்.

ஒரு உரிமையாளரைத் தேர்ந்தெடுத்து எழுதுங்கள். பாதைகள் டீமனுக்குச் சொந்தமானதாக இருந்தால், தொடக்கக் கட்டளைக்கோப்பை அட்டவணையிலிருந்து விலக்கி, இணைப்பு வரையறை போக்குவரத்து தேர்விகளை விவரிக்கட்டும். அவை வலையமைப்பு மேலாளருக்குச் சொந்தமானதாக இருந்தால், தானியங்கு நிறுவலை முடக்கி, மீள இணைக்கும்போது டீமன் காணாமல் போன பாதையைச் சரிசெய்யாது என்பதை ஒப்புக்கொள்ளுங்கள்.

முன்னனுப்புதல் மற்றும் நெருப்புச் சுவர் விதிகள் இதன் மேலான தனி முடிவு, ஏனெனில் மற்ற ஹோஸ்ட்களின் போக்குவரத்தைக் கடத்திச் செல்லும் நுழைவாயிலுக்கு இரண்டும் தேவை. பாதை அடிப்படையிலான IPsec அந்தப் போக்குவரத்தை சாதாரண வழியமைப்புக் கருவிகளால் வெளிப்படுத்த எளிதாக்குகிறது; அது கொள்கை அடுக்கை விருப்பத்தேர்வாக ஆக்காது.