XFRM ఇంటర్ఫేస్ తో మార్గ ఆధారిత IPsec ఎలా పనిచేస్తుంది

మార్గ ఆధారిత IPsec మార్గనిర్దేశన పట్టికకు గతంలో విధాన ఎంపికకారులు తీసుకున్న నిర్ణయాన్ని ఇస్తుంది. Linux లో దీన్ని సాధ్యం చేసే భాగం XFRM ఇంటర్ఫేస్: ఎంపికకారు బదులు ఇంటర్ఫేస్ గుర్తింపు ద్వారా దాని ట్రాఫిక్ IPsec స్థితికి సరిపోలే వర్చువల్ పరికరం. ఒకటి సృష్టించడానికి ఒకే ఆదేశం సరిపోతుంది మరియు సొరంగం ఉందా అనే దాని గురించి ఏమీ నిరూపించదు. పరికరం మార్గనిర్దేశనానికి మరియు భద్రతా విధానానికి మధ్య ఒక కొక్కెం, ఏదైనా రక్షించబడే ముందు ఆ కొక్కెం రెండు వైపులా సంరచన చేయాలి.

పరికరం ఏమిటి, ఏమి కాదు

XFRM ఇంటర్ఫేస్ ఒక మార్గనిర్దేశన పిడి. దానిలోకి మార్గనిర్దేశం చేసిన ప్యాకెట్లు అదే ఇంటర్ఫేస్ గుర్తింపును సూచించే XFRM విధానాలతో సరిపోలుతాయి, విధానం మరియు స్థితి రెండూ ఉంటే అవి ఎన్క్యాప్సులేట్ చేయబడతాయి. అవి లేకుంటే ఇంటర్ఫేస్ ఉంటుంది, కౌంటర్లు నిశ్చలంగా ఉంటాయి, ట్రాఫిక్ ఉపయోగం లేని చోటికి వెళ్తుంది.

ఇది మొదటి నిర్ధారణ విభజన. పరికరంలోకి వెళ్ళే మార్గం ఒక మార్గనిర్దేశన వాస్తవం, ఇన్స్టాల్ చేసిన స్థితి ఒక భద్రతా వాస్తవం, పరికరంపై పెరుగుతున్న కౌంటర్ ఈ రెండూ కాదు. ఇంటర్ఫేస్ UP చూపిస్తుంది కాబట్టి సొరంగం పైన ఉందని ప్రజలు చెప్పినప్పుడు, తనకు సొంత జోడీ లేని వర్చువల్ పరికరం యొక్క లింక్ జెండాలను వివరిస్తున్నారు. జెండా అర్థం పరికరం సృష్టించబడింది మరియు ప్రారంభించబడింది అని మాత్రమే.

మరో హద్దు: ఇంటర్ఫేస్ గుర్తింపు పేరు కాదు. సమాన పేర్లు మరియు భిన్న గుర్తింపులు ఉన్న రెండు పరికరాలు స్థితిని పంచుకోవు, తప్పు గుర్తింపుతో సంరచన చేసిన కనెక్షన్ ఏ మార్గం కూడా ఎప్పటికీ ఉపయోగించని స్థితిని ఇన్స్టాల్ చేస్తుంది.

సరైన క్రమంలో ఒకటి నిర్మించండి

బాహ్య పరికరం మరియు డీమన్ సంరచనలో కూడా పెట్టే సంఖ్యతో ప్రారంభించండి. ఉదాహరణ బాహ్య ఇంటర్ఫేస్ గా eth0 మరియు గుర్తింపు గా 42 ఉపయోగిస్తుంది, ఇవి మీ స్వంత వాటితో భర్తీ చేయాలి.

పరికరాన్ని పైకి లేపండి, తర్వాత VPN సంరచనను తాకే ముందు కెర్నల్ నమోదు చేసిన గుర్తింపును నిర్ధారించండి:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

ఇప్పుడు strongSwan లో అదే గుర్తింపుతో కనెక్షన్ సంరచన చేయండి, ఎందుకంటే డీమన్ దానిని సూచించే విధానాలు మరియు స్థితులను ఇన్స్టాల్ చేయాలి. స్థానిక మరియు దూర ట్రాఫిక్ ఎంపికకారులను మీరు మార్గనిర్దేశం చేయదలిచిన పరిధికి సెట్ చేసి, తర్వాత ఆ పరిధిని పరికరంలోకి మార్గనిర్దేశం చేయండి. డీమన్ సంరచన మరియు మార్గనిర్దేశన పట్టిక గుర్తింపు మరియు గమ్యస్థానాల రెండింటిపై ఏకీభవించాలి, ఏదీ మరొకటి అందించదు.

IKE మరియు ESP లను సొరంగ మార్గం వెలుపల ఉంచండి

XFRM పరికరం వైపు చూపే డిఫాల్ట్ మార్గం ఎన్క్యాప్సులేట్ ప్యాకెట్లను మరియు అవి మోసే ట్రాఫిక్ రెండింటినీ పట్టుకుంటుంది. ఫలితం ఒక లూప్: గేట్వే ESP నిర్మించాల్సిన సొరంగం ద్వారా తన ESP ను పంపడానికి ప్రయత్నిస్తుంది.

పరిష్కారం జోడీ బాహ్య చిరునామా కోసం మరింత నిర్దిష్ట మార్గం భౌతిక ఇంటర్ఫేస్ ద్వారా, అది ఎక్కువ బిట్లతో సరిపోలడం వల్ల డిఫాల్ట్ను ఓడిస్తుంది. అనేక సొరంగాలు ఒక పట్టికను పంచుకున్నప్పుడు గుర్తు ఆధారిత మార్గనిర్దేశనం అదే పని చేస్తుంది, మరియు strongSwan మార్గ ఆధారిత డిప్లాయ్మెంట్ల కోసం రెండు విధానాలను నమోదు చేస్తుంది.

మీరు ఏది ఎంచుకున్నా, బాహ్య ప్యాకెట్ ఎన్క్యాప్సులేషన్ లేకుండా బయటకు వెళ్తుందని నిర్ధారించండి. సొరంగం పైకి వచ్చిన తర్వాత జోడీ బాహ్య చిరునామాకు ping చేయడం శీఘ్ర తనిఖీ; ఇంటర్ఫేస్ పైన ఉన్నప్పుడు అది విఫలమైతే, చేరుకోవడం కంటే పట్టుబడటం అనుమానించండి. అదే తర్కం IKE పోర్టుకు కూడా వర్తిస్తుంది, ఎందుకంటే డీమన్ సొంత UDP ట్రాఫిక్ అది స్థాపించడానికి ప్రయత్నిస్తున్న పరికరంలోకి మార్గనిర్దేశం కాకూడదు.

ఎన్క్రిప్షన్ను నిందించే ముందు రెండు చోట్ల కౌంటర్లను తనిఖీ చేయండి

ఇంటర్ఫేస్ కౌంటర్లు మరియు స్థితి కౌంటర్లు వేర్వేరు దశలను కొలుస్తాయి. పరికరంలోకి మార్గనిర్దేశం చేసిన ప్యాకెట్లు ఏ స్థితి సరిపోలకున్నా పరికరాన్ని పెంచుతాయి, అయితే స్థితి కౌంటర్లు నిజంగా ఎన్క్యాప్సులేట్ అయిన ట్రాఫిక్ కోసం మాత్రమే కదులుతాయి.

రెండింటినీ చదవండి, తర్వాత చైల్డ్ అనుబంధం గురించి డీమన్ దృష్టిని చదవండి:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

స్థితి అవుట్పుట్ ఖాళీగా ఉండగా పరికర కౌంటర్లు పెరగడం అంటే మార్గనిర్దేశనం పనిచేస్తోంది మరియు విధానం సరిపోలడం లేదు, సాధారణంగా గుర్తింపు లేదా ఎంపికకారు తప్పు. దూర వైపు ఏమీ నివేదించనప్పుడు స్థితి కౌంటర్లు పెరగడం అంటే ప్యాకెట్లు బయలుదేరుతాయి కానీ చేరుకోవు లేదా ప్రామాణీకరణలో విఫలమవుతాయి, ఇది మార్గం లేదా జోడీ సంరచనను సూచిస్తుంది. జాబితా చేసిన చైల్డ్ అనుబంధానికి ట్రాఫిక్ లేకుంటే అది ఒక చివర ఎంపికకారు సమస్య, విరిగిన సైఫర్ కాదు.

మార్గాలను ఎవరు ఇన్స్టాల్ చేస్తారో నిర్ణయించండి

ఒక మార్గనిర్దేశన పట్టికకు ఇద్దరు యజమానులు సాధారణంగా ఊగిసలాటకు మూలం. డీమన్ మార్గాలను స్వయంచాలకంగా ఇన్స్టాల్ చేస్తే, మీ నెట్వర్క్ మేనేజర్ కూడా అదే పరికరం ద్వారా డిఫాల్ట్ మార్గాన్ని ఇన్స్టాల్ చేయకూడదు, మరియు స్టార్టప్ స్క్రిప్ట్ జోడించిన మాన్యువల్ మార్గం తదుపరిసారి డీమన్ పునఃసంరచన చేసినప్పుడు తొలగించబడుతుంది.

ఒక యజమానిని ఎంచుకుని రాయండి. మార్గాలు డీమన్ వద్ద ఉన్నప్పుడు, స్టార్టప్ స్క్రిప్ట్ను పట్టిక వెలుపల ఉంచి కనెక్షన్ నిర్వచనం ట్రాఫిక్ ఎంపికకారులను వివరించనివ్వండి. అవి నెట్వర్క్ మేనేజర్ వద్ద ఉన్నప్పుడు, స్వయంచాలక ఇన్స్టాలేషన్ను ఆపివేసి, తిరిగి కనెక్ట్ అయినప్పుడు డీమన్ తప్పిపోయిన మార్గాన్ని సరిచేయదని అంగీకరించండి.

ఫార్వార్డింగ్ మరియు ఫైర్వాల్ నియమాలు దీనిపై ప్రత్యేక నిర్ణయం, ఎందుకంటే ఇతర హోస్ట్ల ట్రాఫిక్ను దాటించే గేట్వేకు రెండూ అవసరం. మార్గ ఆధారిత IPsec ఆ ట్రాఫిక్ను సాధారణ మార్గనిర్దేశన సాధనాలతో వ్యక్తపరచడం సులభం చేస్తుంది; అది విధాన పొరను ఐచ్ఛికం చేయదు.