Pagpasa ng IPsec sa router ng bahay: ano talaga ang ginagawa nito

Ang mga switch ng pass-through ng router ay mga konsesyon sa pagpapasa para sa aparatong nasa likuran nila, hindi mga serbisyo ng VPN. Hindi nila iniuulat ang router bilang kliyente, hindi nag-iimbak ng mga kredensyal at hindi itinutulak ang bawat appliance sa bahay sa isang malayong labasan. Ang ginagawa nila ay hubugin kung paano tumatawid ang isang protocol sa paglipat ng address at sa mga filter. Kapag malinaw iyon, ang switch ay madaling subukan at madaling iwanan na patay.

Ano talaga ang ginagawa ng router

Ipinaaabot ng router ang mga packet sa pagitan ng kliyente at ng kaparehang IPsec na hindi ito kailanman dinisenyo upang maunawaan. Ipinapatupad ng mga tagagawa ang tampok sa hindi bababa sa tatlong paraan: isang katulong ng protocol na sumusubaybay o muling nagsusulat ng estado, isang pagbubukod sa filter na humihinto sa pagtatapon ng ESP, o isang mode ng pagiging tugma para sa mga lumang kliyente. Bihirang sabihin ng label sa web interface kung alin sa tatlo ang mayroon ka. Ang mga tala ng firmware o isang pagkuha ng packet lamang ang magsasabi nito.

Maaari ring palalain ng isang katulong ang sitwasyon. Ang tulong na isinulat para sa isang lumang daloy ay minsang nakikialam sa kliyenteng mahusay nang humahawak sa paglipat. Kapag gumagana ang isang modernong kliyente na patay ang opsyon, ang iwanan itong patay ay ang mas mabuting pagsasaayos.

Hindi kailanman ibinibigay ng pass-through sa router ang mga susi ng mga kapareha. Nakikita pa rin nito ang mga panlabas na address at port, at ipinapataw pa rin nito ang sarili nitong patakaran sa pagpapasa sa mga iyon.

NAT at NAT-T ang nagpapasya sa landas

Hindi itinayo ang IPsec upang mabuhay sa paglipat ng address, kaya nagdagdag ang mga pamantayan ng isang balot. Ang NAT traversal ay nagbabalot ng ESP sa loob ng UDP, na nagpapahintulot sa ordinaryong talahanayan ng NAT na magdala ng daloy, at ang negosasyon ay sumasang-ayon sa paglilipat na iyon sa panahon ng IKE (RFC 3948). Ang IKE mismo ay gumagamit ng UDP 500, habang ang nabalot na landas ay karaniwang gumagamit ng UDP 4500.

Kaya’t ang isang tuntunin ng firewall na pinapayagan lamang ang protocol 50 ay hindi sapat sa isang isinaling landas. Ang pagharang sa 4500 ay sumisira sa kaso kung saan umiiral ang balot, at ang pagharang sa 500 ay humihinto sa negosasyon bago mabuo ang anumang tunel. Mahalaga ang parehong direksyon, dahil ang router na sumusubaybay sa estado ay karaniwang pinapayagan ang sagot pagkatapos lamang nitong makita ang kahilingan. Ang maabot ang isang port ay hindi kapareho ng pagtatapos ng pagpapatotoo, at hindi rin kapareho ng pagpapasa ng protektadong trapiko.

Ang mga lumang kaayusan ay sapat na naiiba kaya ang isang gabay na isinulat para sa kanila ay maaaring magligaw. Kapag nag-aalok ang kliyente ng dalawang mode, subukan ang dokumentado ng iyong kapareha at hindi ang may mas maraming resulta ng paghahanap.

Hanapin ang yugtong nabibigo

Hatiin ang problema sa negosasyon, pagpapatotoo, proteksyon ng anak at panloob na pagpapasa, pagkatapos ay mangolekta ng ebidensya para sa isang yugto sa isang pagkakataon. Ang isang restart na pansamantalang nagbabago ng resulta ay nagpapatunay lamang na may kinalaman ang ilang estado.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Ipinapakita ng pagkuha kung naaabot ng palitan ang kapareha at kung bumabalik ang mga sagot, na naghihiwalay ng problema sa pag-filter mula sa problema sa kredensyal. Ipinapakita ng listahan ng estado ang mga itinatag na asosasyon ng seguridad, kaya ang walang laman na listahan pagkatapos ng pagtatangka ay tumutukoy sa negosasyon at hindi sa routing. Ipinapakita ng listahan ng patakaran kung aling mga tagapili ang naka-install, at doon mismo ibinubukod ang destinasyon sa labas ng subnet. Basahin ang dalawang output ng xfrm bago hawakan ang router, dahil inilalarawan nila ang pinaniniwalaan ng host at hindi ang pinapayagan ng router.

Kung aalis ang mga packet at walang bumabalik, ilipat ang pagkuha sa gilid ng WAN ng router. Ang paghahambing ng dalawang pagkuha ay naglalagay ng lugar ng pagtatapon nang hindi nanghuhula.

Patayin ang hindi mo kailangan

Ang isang gumaganang laptop ay hindi nagpapatunay na pinaglilingkuran ng router ang maraming kliyente nang sabay. Bawat kliyente ay lumilikha ng sariling estado ng paglipat at sariling negosasyon, at ang ilang katulong ay sumusubaybay lamang sa isang daloy. Subukan ang bilang ng sabay na sesyon na talagang kailangan mo, mula sa mga network na talagang ginagamit mo. Kung nabigo ang pangalawang kliyente habang umuunlad ang una, iyon ang natuklasan, hindi isang marupok na tunel.

Iwanan lamang na bukas ang opsyon kapag ipinakita ng pagkuha na kailangan ito. Itala ang bersyon ng firmware sa tabi ng resulta, dahil nagbabago ang mga pag-uugaling ito sa pagitan ng mga release. Ang layunin ay isang tunel ng kliyenteng na-verify mo, hindi isang switch na binuksan mo nang may pag-asa.