Ìgbókèkè IPsec: ipò, NAT-T àti àwọn àlùmọ̀ọ́kọ́rọ́ gbogbo wọ́n ń yí i padà
Nọ́mbà ìgbókèkè kan tí wọ́n tẹ̀ jáde ń ṣàpèjúwe ìkóra-ẹni-mọ́ kan lórí ọ̀nà kan. Ropọ àwọn orí tí ihò rẹ gbà ní otitọ́, lẹ́yìn náà díwọ̀n ọ̀nà náà.
Ní ibìkan nínú ìtọ́sọ́nà, nọ́mbà kan wà, ní ọ̀pọ̀ ìgbà láàárín ọgọ́ta àti ọgọ́rin báìtì, tí ẹnìkan yọ kúrò nínú 1500 láti rí MTU ìfarahàn. Nọ́mbà yẹn ń ṣàpèjúwe ìkóra-ẹni-mọ́ pàtó kan lórí ọ̀nà pàtó kan. Yí ipò padà, yí ẹbí àdírẹ́sì òde padà, yí ìkọ̀wé padà tàbí yí bóyá NAT wà padà, ìṣirò náà kò ní í ṣiṣẹ́ fún ihò rẹ mọ́.
Nọ́mbà náà wá láti inú ihò mìíràn
Ìgbókèkè kì í ṣe àbùdá IPsec ní ọ̀nà àbáláyé. Ó jẹ́ àbùdá pákítì tí a ń kọ́ ní otitọ́: ipò tí wọ́n gbà, orí òde, orí ààbò, ìkún, pápá àìlábààwọ́n àti bóyá ìwé UDP àfikún.
Nọ́mbà tí wọ́n sọ fún ipò gbígbé pẹ̀lú IPv4 àti láìsí NAT ń ṣàpèjúwe pákítì tí ó kéré ju ipò ihò pẹ̀lú IPv6 lábẹ́ ìrékọjá NAT. Àwọn méjèèjì tọ́ fún ọ̀rọ̀ wọn. Dàákọ ọ̀kan nínú wọn sínú ìfilélẹ̀ mìíràn ni ọ̀nà tí àwọn ènìyàn fi ń parí pẹ̀lú MTU tí ń fọ́ ìgbékalẹ̀ ńlá. Ìkùnà jẹ́ ìdákẹ́jẹ́ẹ́ nítorí àwọn ìbéèrè kékeré ń bá a lọ ní ṣíṣẹ́.
Ropọ àwọn ìpele tí ó wà ní otitọ́
Bẹ̀rẹ̀ láti orí IP òde kí o sì lọ sí inú. Nínú ipò ihò, pákítì àkọ́kọ́ wà ní inú, nítorí náà orí òde jẹ́ àfikún kì í ṣe àyípò. RFC 4303 ń ṣàpèjúwe orí ESP, ìkún àti dátà àìlábààwọ́n tí ó tẹ̀lé e.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
Kò sí ìlà kankan nínú wọn tí ó dúró ṣinṣin láàárín àwọn ìfilélẹ̀, ìlà ìkún kò sì dúró ṣinṣin pàápàá nínú ìfilélẹ̀ kan. Ìdí pátápátá tí nọ́mbà ìgbókèkè kan tí wọ́n tẹ̀ jáde fi ń já ẹnìkan kù ni èyí.
Àwọn ibùdó méjì lè má gbà lórí ihò kan náà
Pákítì tí wọ́n dáàbò bo ṣì ní láti rékọjá ọ̀nà òde, ọ̀nà òde kò sì jẹ́ ọ̀kan níbi gbogbo. Ìsopọ̀ PPPoE ń gbé kéré ju ẹ̀ka Ethernet tí ó mọ́. Nẹ́tíwọ́kì alágbèéká lè tún dín kù, olùpèsè tí ń fi tirẹ̀ sínú ihò á sì fi ìkóra-ẹni-mọ́ mìíràn kún tí ẹnìkan kò dárúkọ. Ihò tí ń ṣiṣẹ́ lórí ìsopọ̀ kan tí ó sì kùnà lórí òmíràn ń ṣàpèjúwe ìsopọ̀ kejì, kì í ṣe ìlànà.
Àwọn ọ̀nà méjèèjì lè yàtọ̀ pẹ̀lú. Ọ̀nà aláìdọ́gba lè fún ọ ní ìgbérasókè tí ń ṣiṣẹ́ àti ìgbérasílẹ̀ tí ó dúró, èyí tí a kà sí ìṣòro àpùṣè títí tí ìwọ yóò fi wo ìwọ̀n pákítì dípò ìrọ́wọ́tó. Ping kékeré tí ó yọrísí ń fi díẹ̀ hàn nípa ìdáhùn ìwọ̀n kíkún.
Díwọ̀n dípò yíyọ kúrò
Wá dátágírámù tí ó tóbi jù tí ó gbé ọ̀nà já. Lẹ́yìn náà fi wé iye tí ìfarahàn ń ròyìn:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Sọ ìwọ̀n ping kù títí àwọn ìdáhùn yóò fi dé, kí o sì kà iye tí ó tóbi jù tí ń ṣiṣẹ́ sí ètò fún ọ̀nà yẹn. Àbájáde xfrm ń sọ ipò àti àwọn àlùmọ̀ọ́kọ́rọ́ tí wọ́n gbà, èyí sì ni ìwọlé fún ìṣirò òdodo kankan. Ìgbàkọ́ ń jẹ́rìí bóyá ESP ni ó wà lórí okùn tàbí ESP tí a fi UDP ká, èyí sì yanjú ìbéèrè NAT láìsí àròsọ.
Pàtàkì iye kan fún pẹpẹ ìṣàkóso pẹ̀lú. Pákítì ìfọwọ́sowọ́pọ̀ IKE ní ìgbékalẹ̀ tí ó yàtọ̀ sí pákítì dátà, nítorí náà ìwọ̀n tí a rí láti inú ìgbàkọ́ ìfọwọ́sowọ́pọ̀ kì í ṣe MTU pẹpẹ dátà.
Fi nọ́mbà náà sí ibi tí ó yẹ
Fún TCP nípasẹ̀ ihò, dídín MSS kù ni ó sábà jẹ́ ìṣàkóso tí kò ní ìdánilẹ́kọ̀ọ́ jù, nítorí ó ń dín ohun tí àwọn òpin ń fi ránṣẹ́ kù láìyí ihò fúnra rẹ̀ padà. Fún ihò tí ó dá lórí ọ̀nà, fi MTU ìfarahàn ihò kalẹ̀ pẹ̀lú ìfọkànbalẹ̀ kí o sì kọ ìdí rẹ̀. Ṣíṣe àwọn méjèèjì lẹ́ẹ̀kan náà kí o sì díwọ̀n lẹ́yìn náà kò ní fún ọ ní ìsọfúnni nípa èwo ni ó ṣèrànwọ́.
Pa ipò tí wọ́n gbà, ẹbí òde, ipò NAT àti àmì tí ó lè tún ṣẹlẹ̀ mọ́ pọ̀ nínú tíkẹ́ẹ̀tì. Àkójọ àwọn òtítọ́ mẹ́rin tí wọ́n kọ sílẹ̀ ju ìdúró-ṣinṣin tí a rántí, àti pé ìyẹn ni ẹ̀dà kan ṣoṣo tí yóò là já ìgbéga alábàárà tó ń bọ̀.