IPsec inú IPsec: àwọn àdírẹ́sì wo ni ọ̀nà abẹ́lẹ̀ òde gbọ́dọ̀ gbé

IPsec tí ó wà nínú ara rẹ̀ rọrùn láti ronú lé lórí nígbà tí àwọn ìpele méjì bá parí lórí ẹ̀rọ ọ̀tọ̀ọ̀tọ̀. Àwọn ẹnu-ọ̀nà mẹ́rin, ọ̀nà abẹ́lẹ̀ méjì àti ìbéèrè kan tí ó pinnu bóyá àpẹẹrẹ náà ń ṣiṣẹ́: kí ni ọ̀nà abẹ́lẹ̀ òde ń rí gan-an nígbà tí ti inú bá ti parí pẹ̀lú pákẹ́ẹ̀tì náà? Dáhùn èyí, àwọn olùyàn, àwọn ọ̀nà àti ìtòlẹ́sẹẹsẹ àtúnṣe ìṣòro yóò tẹ̀lé. Tí o bá ṣe àṣìṣe, ìwọ yóò lo ọjọ́ kan ń ṣàtúnṣe ọ̀nà abẹ́lẹ̀ tí ó ń ṣiṣẹ́ ní ti èrọǹgbangbà.

Àpẹẹrẹ ẹnu-ọ̀nà mẹ́rin

Àwọn ẹnu-ọ̀nà òde A àti B kọ́ ọ̀nà abẹ́lẹ̀ àkọ́kọ́ láàárín àwọn ibi méjì. Lẹ́yìn A ni ẹnu-ọ̀nà inú C pẹ̀lú àdírẹ́sì ìrékọjá 10.60.0.2; lẹ́yìn B ni ẹnu-ọ̀nà inú D pẹ̀lú àdírẹ́sì ìrékọjá 10.70.0.2. Àwọn nẹ́tíwọ́kì app wà lẹ́yìn C àti D, àti gbogbo àdírẹ́sì nínú àpẹẹrẹ náà kò pàdé ara wọn ní àmọ̀ọ́mọ̀.

application net -> C -> A == outer IPsec == B -> D -> application net
                       \---------- inner IPsec ----------/

C transit: 10.60.0.2      D transit: 10.70.0.2
A and B:    underlay addresses only

Pípín àwọn ìpele sórí ẹ̀rọ mẹ́rin túmọ̀ sí pé ẹ̀rọ kọ̀ọ̀kan ń fi ààlà kan ṣiṣẹ́. Ẹ̀rọ kan tí ń ṣiṣẹ́ àwọn ìpele méjì gbọ́dọ̀ ṣe àdàpọ̀ àwọn àkójọ ìlànà méjì, àwọn tábìlì ọ̀nà méjì àti àwọn ipò ìkùnà méjì lórí ẹ̀rọ kan, èyí tí ó ṣeé ṣe ṣùgbọ́n ó ṣòro láti ṣàkíyèsí.

Ìpele kọ̀ọ̀kan ń yọ ààbò tirẹ̀ nìkan kúrò

C ń fi ààbò bo pákẹ́ẹ̀tì app fún D. Àbájáde náà ní àdírẹ́sì láti C sí D, ìyẹn sì ni ó dé A. Ohun gbogbo tí ó wà nísàlẹ̀ gbára lé àtúnyàwé yẹn.

A tún fi ààbò bo ó fún B. B ń yọ ààbò ìpele òde kúrò, ó rí pákẹ́ẹ̀tì láti C sí D ó sì ń gbé e lọ síwájú bí ó ti wà ní ààbò. D yọ ààbò inú kúrò ó sì fi pákẹ́ẹ̀tì app náà lélẹ̀.

Nítorí náà A àti B ń rí àwọn ojú ìparí inú àti metadata wọn, ṣùgbọ́n wọn kì í ṣe ẹ̀gbẹ́ tí ń yọ ààbò ẹrù app kúrò. Ìyẹn jẹ́ ànímọ́ gidi ti àpẹẹrẹ náà, kì í ṣe ìsọ pé C, D tàbí àwọn ẹ̀rọ app jẹ́ aláìlẹ́gbẹ́.

Àwọn olùyàn òde ń dárúkọ àwọn ẹnu-ọ̀nà inú

Níbí ni ọ̀pọ̀ jùlọ nínú àwọn ìkọ́lé báyìí ti ń kùnà. Fún ọ̀nà abẹ́lẹ̀ òde tí ó dá lórí ìlànà, àwọn olùyàn tí ẹ ń ṣe ìdúnàádúrà wọn gbọ́dọ̀ ní àwọn àdírẹ́sì tí A àti B ń kó lọ́wọ́ gan-an: 10.60.0.2/32 àti 10.70.0.2/32, ní ìtòlẹ́sẹẹsẹ agbègbè àti ọ̀nà jíjìn tí ó tọ́.

Fífi àwọn subnet app gbẹ̀yìn sínú àwọn olùyàn òde kò ṣiṣẹ́, nítorí nígbà tí pákẹ́ẹ̀tì bá dé A, ìkójọ inú ti kọ àtúnṣe ohun tí A gbọ́dọ̀ dáàbò bo. Nígbà náà ìlànà òde kò ní bá ohunkóhun mu, ọ̀nà abẹ́lẹ̀ yóò sì ga sókè láìgbé dátà.

Má ṣe dín àṣẹ òde kù sí UDP 500. Ìsopọ̀ inú ní ọ̀nà dátà tirẹ̀, tí ó ń lo ESP tàbí ìkójọ UDP gẹ́gẹ́ bí ohun tí wọ́n ti dúnàádúrà, ìlànà òde sì gbọ́dọ̀ gbà irú protokọ́ọ̀lì yẹn.

Ṣàyẹ̀wò àbájáde pẹ̀lú swanctl --list-sas lórí ẹnu-ọ̀nà kọ̀ọ̀kan àti jẹ́rìí pé àwọn ẹgbẹ́ ààbò ọmọ ń jábọ̀ àwọn àdírẹ́sì tí ẹ pinnu, kì í ṣe àwọn tí ẹ rò. Tí àkójọ bá fi àwọn subnet app hàn, a kọ ìlànà òde fún ìpele tí kò tọ́. Tún àwọn olùyàn ṣe kí o tó ṣàtúnṣe ọ̀nà, nítorí ọ̀nà yóò dà bí ó tọ́ ṣùgbọ́n àwọn counter kò ní yí.

Gbígbé àti ìdẹkùn ìtúnṣe

Àwọn olùyàn kò rọ́pò ọ̀nà. A àti B gbọ́dọ̀ gbé ìrìnàjò láàárín C àti D ní ẹ̀gbẹ́ méjèèjì, ìyẹn túmọ̀ sí gbígbé IP tí ó ṣiṣẹ́, àwọn ọ̀nà tí ó tọ́ka sí ọ̀nà abẹ́lẹ̀ àti ọ̀nà ìpadà tí ó wà ní ẹ̀gbẹ́ kejì.

Tí ọ̀nà abẹ́lẹ̀ òde bá ń lo àwọn interface XFRM, àwọn ọ̀nà ń yan interface nígbà tí àwọn ìlànà tí wọ́n dúnàádúrà ṣì ń dín ohun tí ó ń gbé kù. Interface kò mú agbègbè tí a dáàbò bo gbòòrò; ó kàn yí bí kernel ṣe ń gbé pákẹ́ẹ̀tì.

Ìdẹkùn ni ìtúnṣe. Ọ̀nà A sí ojú ìparí òde B gbọ́dọ̀ tẹ̀lé nẹ́tíwọ́kì ìsàlẹ̀, kì í ṣe ọ̀nà abẹ́lẹ̀ tí A ń kọ́, bí bẹ́ẹ̀ kọ, ìkójọ yóò gbìyànjú láti rìnrìn àjò nínú ara rẹ̀ àti ìsopọ̀ kò ní parí.

Ṣàyẹ̀wò ìtumọ̀ kí o tó fi àwọn ìpele kún

Wo NAT orísun èyíkéyìí lórí A àti B kí o tó ṣàtúnṣe ohunkóhun mìíràn. Ìlànà tí ń tún àdírẹ́sì C kọ kí ìlànà IPsec tó wá sí ipò lè fọ́ àwọn olùyàn tí a gbà, ó sì tún lè yí ohun tí D ń gbà ní ẹ̀gbẹ́ kejì.

Ìbòmọ́lẹ̀ gbòòrò kò ní dáàbò bo púpọ̀ sí i nítorí pé ó ní ìpele méjì. Ó ń fi àdírẹ́sì tí ẹ̀gbẹ́ jíjìn ń rí pamọ́, ìyẹn sì ni ìsọfúnni gan-an tí ẹ nílò nígbà tí ọ̀nà abẹ́lẹ̀ wà níṣẹ́ ṣùgbọ́n app kò ṣiṣẹ́.

Tí ìlànà NAT bá jẹ́ dandan gan-an, kọ àdírẹ́sì tí ẹ̀gbẹ́ kọ̀ọ̀kan rò pé ó ń bá sọ̀rọ̀. Ìlà kan náà yẹn ń yanjú ọ̀pọ̀ jùlọ àríyànjiyàn nípa bóyá ọ̀nà abẹ́lẹ̀ tàbí ìtumọ̀ ni ó jẹ̀bi. Ó tún sọ fún onímọ̀ ẹ̀rọ tó ń bọ̀ ibi tí ó yẹ kí ó wò nígbà tí wọ́n bá yọ ìlànà náà kúrò lọ́dún kan lẹ́yìn náà. Ping kò ní ṣe èyíkéyìí nínú wọn.

Fi fail-closed hàn kí o sì ṣàyẹ̀wò MTU

Pípàdánù ọ̀nà kì í ṣe ìlànà fail-closed fúnrarẹ̀. Tábìlì mìíràn, ọ̀nà àìdábọ̀ tàbí ìlànà ìlànà lè pèsè àbáyọ ní ìdákẹ́jẹ́, ọ̀nà kan ṣoṣo láti mọ̀ ni láti sọ ọ̀nà abẹ́lẹ̀ òde kalẹ̀ kí o sì ṣàkíyèsí ohun tí ìrìnàjò app ń ṣe. Ṣe é ní àmọ̀ọ́mọ̀, nínú fèrèsé, dípò kí o ṣàwárí rẹ̀ lójijì.

Dán ipò mẹ́ta wò: ọ̀nà abẹ́lẹ̀ òde ní ìsàlẹ̀, ọ̀nà abẹ́lẹ̀ inú ní ìsàlẹ̀, àti ìmúpadàbọ̀sípò lẹ́yìn tí méjèèjì bá padà. Lo àwọn counter ìlànà lórí ẹnu-ọ̀nà kọ̀ọ̀kan, nítorí àwọn ìpàdé IKE méjì tí a ti fi lélẹ̀ ń fi kìkì pé ìdúnàádúrà ní ìpele ìṣàkóso ṣàṣeyọrí.

Ṣètò ìsúnná fún ìkójọ méjèèjì. IKE tí ń ṣiṣẹ́ jẹ́ àbájáde pákẹ́ẹ̀tì kékeré, àwọn pákẹ́ẹ̀tì app ní ìwọ̀n kíkún sì tún lè kùnà nígbà tí a bá fi orí méjì kún. Dán wò pẹ̀lú ìwọ̀n ẹrù tí a mọ̀ lórí ọ̀nà gidi dípò kí o rò pé àwọn nọ́mbà á papọ̀. Ìṣirò rọrùn, ọ̀nà kò rọrùn.