Ev yönlendiricisinde IPsec geçişi: gerçekte ne yapar

Yönlendiricinin geçiş anahtarları, arkalarındaki bir cihaz için yönlendirme tavizleridir, VPN hizmetleri değildir. Yönlendiriciyi istemci olarak kaydetmezler, kimlik bilgilerini tutmazlar ve evdeki her cihazı uzak bir çıkıştan geçirmezler. Yaptıkları şey, bir protokolün adres çevirisini ve filtreleri nasıl aştığını biçimlendirmektir. Bu netleştiğinde anahtarı test etmek de, kapalı bırakmak da kolaydır.

Yönlendirici gerçekte ne yapıyor

Yönlendirici, bir istemci ile bir IPsec eşi arasında durur ve anlamak için hiç tasarlanmadığı paketleri iletir. Üreticiler özelliği en az üç şekilde uygular: durumu izleyen veya yeniden yazan bir protokol yardımcısı, ESP’nin düşürülmesini durduran bir filtre istisnası ya da eski istemcilere yönelik bir uyumluluk modu. Web arayüzündeki etiket, üçünden hangisine sahip olduğunuzu nadiren söyler. Bunu yalnızca ürün yazılımı notları veya bir paket yakalama söyler.

Bir yardımcı işleri daha da kötüleştirebilir. Eski bir akış için yazılmış yardım, bazen çeviriyi zaten doğru işleyen bir istemciye müdahale eder. Modern bir istemci seçenek kapalıyken çalışıyorsa, kapalı bırakmak daha iyi yapılandırmadır.

Geçiş, eşlerin anahtarlarını yönlendiriciye asla vermez. Hâlâ dış adresleri ve bağlantı noktalarını görür ve kendi iletme politikasını bunlara uygular.

NAT ve NAT-T yolu belirler

IPsec adres çevirisinden sağ çıkmak için inşa edilmedi, bu yüzden standartlar bir sarmalayıcı ekledi. NAT geçişi ESP’yi UDP içine kapsüller, böylece sıradan bir NAT tablosu akışı taşıyabilir ve müzakere IKE sırasında bu değişim üzerinde anlaşır (RFC 3948). IKE’nin kendisi UDP 500 kullanırken kapsüllenmiş yol genellikle UDP 4500 kullanır.

Bu yüzden yalnızca protokol 50’ye izin veren bir güvenlik duvarı kuralı çevrilmiş bir yolda yeterli değildir. 4500’ü engellemek sarmalayıcının var olma nedenini bozar ve 500’ü engellemek herhangi bir tünel oluşmadan müzakereyi durdurur. Her iki yön de önemlidir, çünkü durumu izleyen bir yönlendirici yanıta genellikle isteği gördükten sonra izin verir. Bir bağlantı noktasına ulaşmak, kimlik doğrulamayı tamamlamakla aynı şey değildir ve korumalı trafiği iletmekle de aynı değildir.

Eski düzenlemeler yeterince farklıdır, bu yüzden onlar için yazılmış bir kılavuz yanıltıcı olabilir. İstemci iki modu da sunduğunda, arama sonucu daha fazla olanı değil, eşinizin belgelediğini test edin.

Başarısız aşamayı bulun

Sorunu müzakere, kimlik doğrulama, alt bağlantı koruması ve iç iletme olarak bölün, sonra her seferinde bir aşama için kanıt toplayın. Sonucu geçici olarak değiştiren bir yeniden başlatma yalnızca bir durumun işin içinde olduğunu kanıtlar.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Yakalama, alışverişin eşe ulaşıp ulaşmadığını ve yanıtların dönüp dönmediğini gösterir; bu, filtre sorununu kimlik bilgisi sorunundan ayırır. Durum listesi kurulmuş güvenlik ilişkilerini gösterir, bu yüzden denemeden sonra boş bir liste yönlendirmeye değil müzakereye işaret eder. Politika listesi hangi seçicilerin kurulu olduğunu gösterir ve alt ağ dışındaki hedef tam orada dışlanır. Yönlendiriciye dokunmadan önce iki xfrm çıktısını okuyun, çünkü bunlar yönlendiricinin neye izin verdiğini değil, ana makinenin neye inandığını anlatır.

Paketler çıkıp hiçbir şey dönmezse, yakalamayı yönlendiricinin WAN tarafına taşıyın. İki yakalamanın karşılaştırılması, düşmenin yerini tahmin etmeden belirler.

İhtiyacınız olmayanı kapatın

Bir dizüstü bilgisayarın çalışması, yönlendiricinin aynı anda birden çok istemciye hizmet ettiğini kanıtlamaz. Her istemci kendi çeviri durumunu ve kendi müzakereyi oluşturur, bazı yardımcılar yalnızca bir akışı izler. Gerçekten ihtiyaç duyduğunuz eşzamanlı oturum sayısını, gerçekten kullandığınız ağlardan test edin. İkinci istemci başarısız olurken birinci iyi gidiyorsa, bulgu budur, dengesiz bir tünel değil.

Seçeneği yalnızca bir yakalama gerektiğini gösterdiğinde açık bırakın. Ürün yazılımı sürümünü sonucun yanına not edin, çünkü bu davranışlar sürümler arasında değişir. Amaç, doğruladığınız bir istemci tüneli, umutla açtığınız bir anahtar değil.