IPsec ESP: ohun tí ó ń gbé àti bí a ṣe lè fi hàn pé ó ń ṣàn
ESP ń dì ìlànà IP inú kan nínú ipò ojú-òpóòrú, ó sì ń dámọ̀ ìsopọ̀ rẹ̀ nípasẹ̀ SPI. Ka ipò náà, lẹ́yìn náà wo bí ṣíṣàn kan ṣe ń gbé àwọn olùkà.
ESP ń gbé ìrìnàjò inú VPN IPsec kan, runbook rẹ̀ sì bẹ̀rẹ̀ pẹ̀lú ìlànà kan: ka ìsopọ̀ ààbò kí o tó yí ìlànà padà. Ọ̀pọ̀ jùlọ ìhùwàsí ESP tí a kò ṣàlàyé ń padà sí yíyan tí kò bá ara mu, ipò tí a rò lórí rẹ̀ dípò kí a kà á, tàbí olùkà tí ẹnikẹ́ni kò yẹ̀wò nígbà tí wọ́n ń fi ṣíṣàn kan ránṣẹ́. Àwọn ìgbésẹ̀ mẹ́ta tí ó wà nísàlẹ̀ ń fi hàn ohun tí ń gbé ohun tí, ń fi hàn pé ṣíṣàn kan ń lò ó, àti ń fi ìpadàbọ̀ tí kò gbára lé ìrántí sílẹ̀. Ìgbésẹ̀ kọ̀ọ̀kan ń mú àkíyèsí kan tí ó yẹ láti kọ sílẹ̀ wá.
Mọ àwọn pápá kí o tó kà wọ́n
ESP ń gbé orí-ọ̀rọ̀ síwájú dátà tí a dáàbò bò àti ìrù-ọ̀rọ̀ lẹ́yìn rẹ̀. Orí-ọ̀rọ̀ náà ń gbé atọ́ka àwọn pàtàkì ààbò tí ń dámọ̀ ìsopọ̀ tí olùgbà yẹ kí ó lò, nọ́mbà ìtẹ̀lélẹ̀ láti dá àtúnṣe mọ̀, àti nínú ìrù-ọ̀rọ̀ ìkún-ọ̀rọ̀ tí ń jẹ́ kí ẹrù náà dúró déédé fún ẹ̀rọ ìkọ̀kọ̀. Pápá orí-ọ̀rọ̀ tí ó tẹ̀lé nínú ìrù-ọ̀rọ̀ ń sọ ohun tí àkóónú tí a dáàbò bò jẹ́, bẹ́ẹ̀ ni olùgbà sì mọ ohun tí ó ti yọ kúrò nínú àpò.
Ipò náà ń yí ohun tí ó wà nínú ààbò náà padà. Nínú ipò ojú-òpóòrú, ohun tí a dáàbò bò ni gbogbo ìlànà IP inú kan, orí-ọ̀rọ̀ ìta tuntun sì ń gbé e láàárín àwọn òpin méjèèjì. Nínú ipò gbígbé, ààbò náà ń dì ẹrù ìpele òkè ti ìlànà tí ó ti wà tẹ́lẹ̀, nítorí náà kò sí orí-ọ̀rọ̀ IP kejì láti ṣí. Ipa wo ni a ń lò jẹ́ òtítọ́ ìṣètò, kì í ṣe ọ̀rọ̀ ìtumọ̀. Kà á látinú àkọsílẹ̀ ipò dípò kí o dí ìwádìí rẹ̀ láti àwòrán.
Kò sí ipò kan nínú àwọn méjèèjì tí ó fi àdírẹ́sì ìta tí ó gbọdọ̀ gbé ìlànà náà dé pamọ́. Ìyẹn jẹ́ ànímọ́ àpẹẹrẹ, kì í ṣe àìtó, ìdí nìyẹn tí olùwòye àárín fi lè rí àwọn àdírẹ́sì méjì tí ń bára wọn sọ̀rọ̀ pàápàá nígbà tí ẹrù náà kò hàn kedere.
Ìgbésẹ̀ kìíní: ka ipò náà, lẹ́yìn náà ìlànà
Àwọn àkọsílẹ̀ ipò ń tọ́jú àwọn kọ́kọ́rọ́ àti àwọn olùkà; àwọn àkọsílẹ̀ ìlànà ń tọ́jú àwọn yíyan tí ń pinnu ẹni tí a gbà láàyè láti lò wọ́n. Nínú Linux àwọn méjèèjì máa ń hàn láìsí gbígbá ìlànà, kíkà wọ́n ní ìtẹ̀lélẹ̀ yẹn sì ń pa àwọn ìbéèrè méjèèjì mọ́ ní ọ̀tọ̀ọ̀tọ̀.
ip xfrm state
ip xfrm policyNínú àbájáde ipò, yẹ̀wò orísun àti ibi-ìlọ̀ ti ìsopọ̀ náà, ipò náà, àti bóyá ìdì náà ń fi àwọn ibùdó UDP hàn. Àwọn ibùdó yẹn túmọ̀ sí pé a ń lo ìrékọjá NAT, èyí tí ó yí ohun tí odi-iná àárín gbọdọ̀ gbà padà, ṣùgbọ́n kì í ṣe àwọn yíyan tàbí kọ́kọ́rọ́ wo ni ó wúlò ní àwọn òpin.
Lẹ́yìn náà ka àwọn yíyan tí ó wà nínú ìlànà. Yíyan tí ó dárúkọ àkópọ̀ tí ó dín ju ìrìnàjò tí o ń dán wò ló jẹ́ ìdí tí ó wọ́pọ̀ jùlọ tí ojú-òpóòrú tí ń ṣiṣẹ́ fi dàbí pé ó ń pa ṣíṣàn kan tì, yíyan fún ètò tí kò tọ̀nà sì ń fúnni ní ìdákẹ́jẹ́ kanna.
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
Àwọn irinṣẹ́ olùpèsè ń tẹ ìsọfúnni kanna jáde ní ọ̀nà tí ó rọrùn.ipsec statusall lórí strongSwan ó ń ṣàkọsílẹ̀ àwọn ìsopọ̀ ọmọ, àwọn yíyan wọn àti àwọn olùkà byte wọn, èyí tí ó sábà yára ju kíkà àbájáde xfrm àìdá lọ nígbà tí o ti mọ ọmọ tí o yẹ kí o wò.
Ìgbésẹ̀ kejì: fi hàn pé ṣíṣàn kan ń gbé àwọn olùkà
Àwọn olùkà máa ń ní ìtumọ̀ nìkan bí o bá mọ ohun tí ó yẹ kí ó gbé wọn, nítorí náà yan orísun àti ibi-ìlọ̀ tí yíyan náà ń bo dájúdájú kí o sì fi ìbéèrè kan tí kò léwu ránṣẹ́. Lẹ́yìn náà tún ka àkọsílẹ̀ kanna kí o sì fi wéra.
ip -s xfrm state
tcpdump -ni any espÌkà méjì ń sọ ìtàn ọ̀tọ̀ọ̀tọ̀. Àwọn ìlànà tí ń pọ̀ sí i ní ẹ̀gbẹ́ jáde ṣùgbọ́n tí kò pọ̀ sí i rárá ní ẹ̀gbẹ́ wọlé ń tọ́ka sí ìṣòro ìgbé-jáde tàbí ọ̀nà ìpadàbọ̀, kì í ṣe ìṣòro kọ́kọ́rọ́, nítorí pé a ti dì ìlànà náà, ó sì ti lọ. Bí kò bá sí olùkà tí ó gbé, ìrìnàjò náà kò bá ìlànà mu rárá, yíyan náà sì ni ibi tí o yẹ kí o wò.
Gbígbá nínú ìgbésẹ̀ kanna ń fi ìdì náà hàn lórí okùn, pẹ̀lú bóyá àwọn ìlànà ìta jẹ́ ESP tàbí ESP tí a dì nínú UDP. Ó tún fi àwọn àdírẹ́sì tí ó gbé ṣíṣàn náà níti gidi hàn, àwọn yẹn sì máa ń yàtọ̀ sí àwọn tí ó wà nínú ìṣètò tí o ń kà.
Ìgbésẹ̀ kẹta: yí ohun kan padà kí o sì pa ìpadàbọ̀ mọ́
Kọ orísun, ibi-ìlọ̀, ipò, àwọn yíyan àti àwọn olùkà ìsopọ̀ náà sílẹ̀ kí o tó ṣàtúnṣe ohunkóhun. Bí ìyípadà kan bá mú àwọn nǹkan burú sí i, àkọsílẹ̀ yẹn ni yóò jẹ́ kí o lè dá ipò àtẹ́lẹ̀ padà dípò kí o tún ìṣètò tí ń ṣiṣẹ́ kọ́ láti inú àròsọ. Àkọsílẹ̀ yẹn ń gba ìṣẹ́jú kan láti kọ, ó sì ń dá wákàtí kan sílẹ̀ lẹ́yìn náà. Òun ni ohun èlò kan ṣoṣo tí ó kù lẹ́yìn ẹni tí ó ṣe ìyípadà náà.
Yí yíyan kan tàbí pàtàkì kan padà, tún un gbé wọlé, kí o sì tún ìgbésẹ̀ kejì ṣe lórí ṣíṣàn kanna. Pípa ìsopọ̀ kan rẹ́ yóò fọ́ gbogbo ṣíṣàn tí ó ń lò ó, nítorí náà àtúnṣe tí a fọkàn sí àti àtúgbé ọmọ wọlé fẹ́rẹ̀ẹ́ máa sàn ju pípa ipò rẹ̀mú lọ láti wo ohun tí yóò ṣẹlẹ̀.
Ìpadàbọ̀ fún àtúnṣe yíyan ni dídá ìlànà àtẹ́lẹ̀ padà àti àtúgbé rẹ̀ wọlé, pẹ̀lú àkíyèsí pé ẹlẹgbẹ́ rẹ̀ lè nílò ìyípadà tí ó bá a mu bí a bá ń ṣèdájọ́ yíyan náà tí kì í ṣe ti ilé. Kọ ìgbẹ́kẹ̀lé yẹn sílẹ̀ nígbà tí ó ṣì tuntun, nítorí pé bí ó ṣe ṣòro láti ronú lórí ẹni méjì tí a dá padà ló ṣẹ̀ṣẹ̀ ju èyíkéyìí nínú àwọn ipò ìparí méjèèjì lọ.
Níkẹyìn, pa ìwọ̀n náà mọ́ ní òtítọ́. Ìsopọ̀ ESP tí ń ṣàn ń fi hàn pé àwọn ibi-ìsọ̀nà méjì ń dáàbò bò àti ń fi ìpín náà ránṣẹ́, kò sì sọ ohunkóhun nípa bóyá ohun-èlò tí ó wà lókè ń fi àwọn olùlò rẹ̀ hàn tàbí ń kọ̀wé ohun tí ó tọ́jú. Àwọn yẹn jẹ́ àwọn ìṣàkóso ọ̀tọ̀ọ̀tọ̀ pẹ̀lú ẹ̀rí ọ̀tọ̀ọ̀tọ̀, runbook sì ń parí nìkan nígbà tí ẹni tí ó kàn lè tún un ṣe láti inú àwọn àkọsílẹ̀.