Uy routerida IPsec o’tkazish: u aslida nima qiladi

Routerning o’tkazish kalitlari ularning orqasidagi qurilma uchun yo’naltirish yon berishlari, VPN xizmatlari emas. Ular routerni mijoz sifatida ro’yxatga olmaydi, hisob ma’lumotlarini saqlamaydi va uydagi har bir qurilmani uzoq chiqish orqali o’tkazmaydi. Ular qiladigan ish bitta protokolning manzil tarjimasi va filtrlardan qanday o’tishini shakllantirishdir. Bu aniq bo’lgach, kalitni sinash ham, o’chirilgan holda qoldirish ham oson.

Router aslida nima qiladi

Router mijoz va IPsec sherigi o’rtasida turadi va tushunish uchun hech qachon mo’ljallanmagan paketlarni uzatadi. Ishlab chiqaruvchilar bu funksiyani kamida uchta usulda amalga oshiradi: holatni kuzatadigan yoki qayta yozadigan protokol yordamchisi, ESP tashlanishini to’xtatadigan filtr istisnosi yoki eski mijozlar uchun moslik rejimi. Veb-interfeysdagi yorliq uchtadan qaysi biri sizda borligini kamdan-kam aytadi. Buni faqat proshivka eslatmalari yoki paket yozuvi aytadi.

Yordamchi vaziyatni yanada yomonlashtirishi mumkin. Eski oqim uchun yozilgan yordam ba’zan tarjimani allaqachon to’g’ri boshqaradigan mijozga xalaqit beradi. Zamonaviy mijoz parametr o’chirilgan holda ishlayotgan bo’lsa, uni o’chirilgan holda qoldirish yaxshiroq konfiguratsiya.

O’tkazish hech qachon routerga sheriklarning kalitlarini bermaydi. U hali ham tashqi manzillar va portlarni ko’radi va ularga o’zining yo’naltirish siyosatini qo’llaydi.

NAT va NAT-T yo’lni belgilaydi

IPsec manzil tarjimasidan omon qolish uchun qurilmagan, shuning uchun standartlar qobiq qo’shdi. NAT traversal ESP ni UDP ichiga joylaydi, oddiy NAT jadvali oqimni ko’tara oladi va muzokara IKE vaqtida bu almashtirishga kelishadi (RFC 3948). IKE o’zi UDP 500 dan foydalanadi, qobiqlangan yo’l esa odatda UDP 4500 dan foydalanadi.

Shuning uchun faqat 50-protokolga ruxsat beruvchi xavfsizlik devori qoidasi tarjima qilingan yo’lda yetarli emas. 4500 ni bloklash qobiq mavjud bo’lishining sababi bo’lgan holatni buzadi, 500 ni bloklash esa biron-bir tunnel hosil bo’lishidan oldin muzokarani to’xtatadi. Ikkala yo’nalish ham muhim, chunki holatni kuzatadigan router odatda so’rovni ko’rgandan keyingina javobga ruxsat beradi. Portga yetib borish autentifikatsiyani tugatish bilan bir xil emas, himoyalangan trafikni uzatish bilan ham bir xil emas.

Eski tuzilmalar yetarlicha farq qiladi, shuning uchun ular uchun yozilgan qo’llanma chalg’itishi mumkin. Mijoz ikkala rejimni taklif qilsa, qidiruv natijalari ko’proq bo’lganini emas, sherigingiz hujjatlashtirganini sinang.

Muvaffaqiyatsiz bosqichni toping

Muammoni muzokara, autentifikatsiya, bola himoyasi va ichki yo’naltirishga bo’ling, keyin bir vaqtning o’zida bir bosqich uchun dalillar to’plang. Natijani vaqtincha o’zgartiradigan qayta yuklash faqat qandaydir holat ishtirok etganini isbotlaydi.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Yozuv almashinuv sherikka yetib borishini va javoblar qaytishini ko’rsatadi, bu filtr muammosini hisob ma’lumotlari muammosidan ajratadi. Holat ro’yxati o’rnatilgan xavfsizlik assotsiatsiyalarini ko’rsatadi, shuning uchun urinishdan keyingi bo’sh ro’yxat marshrutlashga emas, muzokaraga ishora qiladi. Siyosat ro’yxati qaysi selektorlar o’rnatilganini ko’rsatadi va aynan o’sha joyda kichik tarmoqdan tashqari manzil chiqarib tashlanadi. Routerga tegishdan oldin xfrm ning ikkala chiqishini o’qing, chunki ular router nima ruxsat berishini emas, xost nimaga ishonishini tasvirlaydi.

Agar paketlar chiqib, hech narsa qaytmasa, yozuvni routerning WAN tomoniga ko’chiring. Ikki yozuvni taqqoslash taxmin qilmasdan tashlab yuborilgan joyni aniqlaydi.

Keraksiz narsani o’chiring

Bitta ishlayotgan noutbuk router bir vaqtda bir nechta mijozga xizmat qilishini isbotlamaydi. Har bir mijoz o’zining tarjima holatini va o’zining muzokarasini yaratadi, ba’zi yordamchilar faqat bitta oqimni kuzatadi. Sizga haqiqatan kerak bo’lgan bir vaqtda ishlaydigan sessiyalar sonini haqiqatan ishlatadigan tarmoqlardan sinang. Agar birinchisi gullab-yashnayotganda ikkinchi mijoz muvaffaqiyatsiz bo’lsa, bu topilma, beqaror tunnel emas.

Parametrni faqat yozuv zarurligini ko’rsatganda yoniq qoldiring. Natija yonida proshivka versiyasini yozib qo’ying, chunki bu xatti-harakatlar relizlar orasida o’zgaradi. Maqsad siz tekshirgan mijoz tunnelidir, umid bilan yoqilgan kalit emas.