ఇంటి రౌటర్లో IPsec పాస్-త్రూ: ఇది నిజంగా ఏమి చేస్తుంది

రౌటర్ పాస్-త్రూ స్విచ్లు వాటి వెనుక ఉన్న పరికరానికి ఇచ్చే ఫార్వార్డింగ్ రాయితీలు, VPN సేవలు కావు. అవి రౌటర్ను క్లయింట్గా నమోదు చేయవు, ఆధారాలను ఉంచుకోవు, ఇంట్లోని ప్రతి పరికరాన్ని దూర అవుట్లెట్ ద్వారా నెట్టవు. అవి చేసేది ఒక ప్రోటోకాల్ చిరునామా అనువాదం మరియు ఫిల్టర్లను ఎలా దాటుతుందో రూపొందించడం. అది స్పష్టమైన తర్వాత, స్విచ్ను పరీక్షించడం సులభం, ఆఫ్ ఉంచడం కూడా సులభం.

రౌటర్ నిజంగా ఏమి చేస్తోంది

రౌటర్ క్లయింట్ మరియు IPsec సహచరి మధ్య కూర్చుని, అర్థం చేసుకోవడానికి ఎప్పుడూ రూపకల్పన చేయని ప్యాకెట్లను ఫార్వార్డ్ చేస్తుంది. తయారీదారులు ఈ లక్షణాన్ని కనీసం మూడు విధాలుగా అమలు చేస్తారు: స్థితిని ట్రాక్ చేసే లేదా తిరిగి రాసే ప్రోటోకాల్ సహాయకుడు, ESP పడవేయడాన్ని ఆపే ఫిల్టర్ మినహాయింపు, లేదా పాత క్లయింట్ల కోసం అనుకూలత మోడ్. వెబ్ ఇంటర్ఫేస్లోని లేబుల్ మూడింటిలో ఏది మీ దగ్గర ఉందో అరుదుగా చెబుతుంది. ఫర్మ్వేర్ నోట్లు లేదా ప్యాకెట్ క్యాప్చర్ మాత్రమే చెబుతాయి.

సహాయకుడు పరిస్థితిని మరింత దిగజార్చవచ్చు. పాత ప్రవాహం కోసం రాసిన సహాయం కొన్నిసార్లు అనువాదాన్ని ఇప్పటికే సరిగ్గా నిర్వహిస్తున్న క్లయింట్కు అంతరాయం కలిగిస్తుంది. ఆధునిక క్లయింట్ ఎంపికను ఆఫ్ చేసి పనిచేస్తే, దాన్ని ఆఫ్ ఉంచడమే మెరుగైన కాన్ఫిగరేషన్.

పాస్-త్రూ ఎప్పుడూ రౌటర్కు సహచరుల కీలను ఇవ్వదు. ఇది ఇప్పటికీ బాహ్య చిరునామాలు మరియు పోర్టులను చూస్తుంది, ఇప్పటికీ వాటిపై తన సొంత ఫార్వార్డింగ్ విధానాన్ని వర్తిస్తుంది.

NAT మరియు NAT-T మార్గాన్ని నిర్ణయిస్తాయి

IPsec చిరునామా అనువాదాన్ని తట్టుకునేలా నిర్మించబడలేదు, కాబట్టి ప్రమాణాలు ఒక కవచాన్ని జోడించాయి. NAT ట్రావర్సల్ ESPని UDP లోపల చుట్టి, సాధారణ NAT పట్టిక ప్రవాహాన్ని మోయడానికి అనుమతిస్తుంది, మరియు చర్చలు IKE సమయంలో ఆ మార్పుకు అంగీకరిస్తాయి (RFC 3948). IKE స్వయంగా UDP 500 ఉపయోగిస్తుంది, కవచిత మార్గం సాధారణంగా UDP 4500 ఉపయోగిస్తుంది.

అందుకే ప్రోటోకాల్ 50కి మాత్రమే అనుమతి ఇచ్చే firewall నియమం అనువదించిన మార్గంలో సరిపోదు. 4500ని నిరోధించడం కవచం ఎందుకు ఉందో ఆ సందర్భాన్ని బద్దలు కొడుతుంది, 500ని నిరోధించడం ఏ సొరంగం ఏర్పడకముందే చర్చలను ఆపుతుంది. రెండు దిశలూ ముఖ్యం, ఎందుకంటే స్థితిని ట్రాక్ చేసే రౌటర్ సాధారణంగా అభ్యర్థనను చూసిన తర్వాతే ప్రతిస్పందనను అనుమతిస్తుంది. పోర్టును చేరుకోవడం ప్రామాణీకరణను పూర్తి చేయడంతో సమానం కాదు, రక్షిత ట్రాఫిక్ను ఫార్వార్డ్ చేయడంతోనూ సమానం కాదు.

పాత ఏర్పాట్లు సరిపడా భిన్నంగా ఉంటాయి, కాబట్టి వాటి కోసం రాసిన మార్గదర్శిని తప్పుదారి పట్టించవచ్చు. క్లయింట్ రెండు మోడ్లను అందించినప్పుడు, ఎక్కువ శోధన ఫలితాలు ఉన్నది కాదు, మీ సహచరి డాక్యుమెంట్ చేసినది పరీక్షించండి.

విఫలమయ్యే దశను కనుగొనండి

సమస్యను చర్చలు, ప్రామాణీకరణ, శిశు రక్షణ మరియు అంతర్గత ఫార్వార్డింగ్గా విభజించి, తర్వాత ఒక దశకు ఒకసారి సాక్ష్యాలు సేకరించండి. ఫలితాన్ని తాత్కాలికంగా మార్చే రీబూట్ ఏదో స్థితి పాల్గొందని మాత్రమే నిరూపిస్తుంది.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

క్యాప్చర్ మార్పిడి సహచరిని చేరుతుందో లేదో, ప్రతిస్పందనలు తిరిగి వస్తాయో లేదో చూపుతుంది, ఇది ఫిల్టర్ సమస్యను ఆధారాల సమస్య నుండి వేరు చేస్తుంది. స్థితి జాబితా ఏర్పాటైన భద్రతా అనుబంధాలను చూపుతుంది, కాబట్టి ప్రయత్నం తర్వాత ఖాళీ జాబితా రూటింగ్ కాదు, చర్చలను సూచిస్తుంది. విధాన జాబితా ఏ ఎంపికకారులు ఇన్స్టాల్ అయ్యాయో చూపుతుంది, మరియు అక్కడే ఉపజాలం వెలుపలి గమ్యం మినహాయించబడుతుంది. రౌటర్ను తాకే ముందు xfrm యొక్క రెండు అవుట్పుట్లను చదవండి, ఎందుకంటే అవి రౌటర్ ఏమి అనుమతిస్తుందో కాదు, హోస్ట్ ఏమి నమ్ముతుందో వివరిస్తాయి.

ప్యాకెట్లు బయటకు వెళ్లి ఏదీ తిరిగి రాకపోతే, క్యాప్చర్ను రౌటర్ WAN వైపుకు తరలించండి. రెండు క్యాప్చర్లను పోల్చడం ఊహించకుండా పడవేసిన స్థలాన్ని గుర్తిస్తుంది.

అవసరం లేనిది ఆఫ్ చేయండి

ఒక ల్యాప్టాప్ పనిచేయడం రౌటర్ ఒకేసారి అనేక క్లయింట్లను నిర్వహిస్తుందని నిరూపించదు. ప్రతి క్లయింట్ తన సొంత అనువాద స్థితిని మరియు తన సొంత చర్చలను సృష్టిస్తుంది, కొన్ని సహాయకులు ఒకే ప్రవాహాన్ని ట్రాక్ చేస్తాయి. మీకు నిజంగా అవసరమైన ఏకకాల సెషన్ల సంఖ్యను మీరు నిజంగా ఉపయోగించే నెట్వర్క్ల నుండి పరీక్షించండి. మొదటిది బాగా నడుస్తుండగా రెండవ క్లయింట్ విఫలమైతే, అదే కనుగొన్న అంశం, అస్థిర సొరంగం కాదు.

క్యాప్చర్ అవసరమని చూపినప్పుడు మాత్రమే ఎంపికను ఆన్ ఉంచండి. ఫలితం పక్కన ఫర్మ్వేర్ వెర్షన్ను నమోదు చేయండి, ఎందుకంటే ఈ ప్రవర్తనలు విడుదలల మధ్య మారుతాయి. లక్ష్యం మీరు ధృవీకరించిన క్లయింట్ సొరంగం, ఆశతో ఆన్ చేసిన స్విచ్ కాదు.