IPsec gbígbà kọjá lórí olùdarí ilé: ohun tí ó ń ṣe gan-an

Àwọn yíyaná gbígbà kọjá ti olùdarí jẹ́ ìyọ̀nda ìfiránṣẹ́ fún ẹ̀rọ tí ó wà lẹ́yìn wọn, kì í ṣe iṣẹ́ VPN. Wọn kò forúkọ olùdarí gẹ́gẹ́ bí oníbàárà, wọn kò pa ẹ̀rí mọ́, wọn kò sì ti gbogbo ẹ̀rọ inú ilé lọ sí ojú-ọ̀nà jíjìn. Ohun tí wọn ń ṣe ni dída ọ̀nà tí èdè kan gbà kọjá ìtumọ̀ àdírẹ́sì àti àwọn àlẹ̀mọ́. Nígbà tí èyí yé, yíyaná náà rọrùn láti dán wò àti rọrùn láti fi sílẹ̀ ní ìparẹ́.

Ohun tí olùdarí ń ṣe gan-an

Olùdarí náà jókòó láàárín oníbàárà àti ẹlẹgbẹ́ IPsec, ó sì ń fi àwọn pákẹ́tí tí a kò ṣètò rẹ̀ láti yé ránṣẹ́. Àwọn aṣẹ̀dá ń ṣe àkópọ̀ ọ̀rọ̀ yìí ní ọ̀nà mẹ́ta ó kéré tán: olùrànlá èdè tí ń tọpinpin tàbí tún ipò kọ, ìyọ̀nda àlẹ̀mọ́ tí ń dá jíjù ESP dúró, tàbí ipò ìbámu fún àwọn oníbàárà àtijọ́. Àmì inú ojú-ìwé wẹ́ẹ̀bù kì í sábà sọ èyí tí ó wà nínú mẹ́ta náà. Àwọn àkọsílẹ̀ firmware tàbí gbígba pákẹ́tí nìkan ni yóò sọ.

Olùrànlá lè mú kí nǹkan túbọ̀ burú. Ìrànwọ́ tí a kọ fún ṣíṣàn àtijọ́ máa ń dí oníbàárà tí ó ti ń ṣe ìtumọ̀ lọ́nà títọ́ lọ́wọ́ nígbà mìíràn. Nígbà tí oníbàárà òde òní ń ṣiṣẹ́ pẹ̀lú àṣàyàn ní ìparẹ́, fífi í sílẹ̀ ní ìparẹ́ ni ìṣètò tí ó dára jù.

Gbígbà kọjá kì í fún olùdarí ní kọ́kọ́rọ́ àwọn ẹlẹgbẹ́ rárá. Ó ṣì ń rí àwọn àdírẹ́sì àti ibùdó ìta, ó sì ṣì ń lo ìlànà ìfiránṣẹ́ tirẹ̀ lórí wọn.

NAT àti NAT-T ni wọ́n ń pinnu ọ̀nà

IPsec kò jẹ́ kíkọ́ láti ye ìtumọ̀ àdírẹ́sì, nítorí náà àwọn ìlànà fi ìbòrí kún un. NAT traversal ń fi ESP sínú UDP, èyí tí ó jẹ́ kí tábìlì NAT lasan lè gbé ṣíṣàn náà, ìdúnàádúrà sì gbà lórí ìyípadà yẹn ní àsìkò IKE (RFC 3948). IKE fúnra rẹ̀ ń lo UDP 500, nígbà tí ọ̀nà tí a fi bò ń lo UDP 4500 ní gbogbo ìgbà.

Nítorí náà ìlànà odi iná tí ó gbà èdè 50 nìkan kò tó lórí ọ̀nà tí a túmọ̀. Dídènà 4500 ń ba irú ọ̀ràn tí ìbòrí wà fún jẹ́, dídènà 500 sì ń dá ìdúnàádúrà dúró kí ojú-ọ̀nà kankan tó dàgbà. Ẹ̀gbẹ́ méjèèjì ṣe pàtàkì, nítorí olùdarí tí ń tọpinpin ipò sábà gbà ìdáhùn lẹ́yìn tí ó ti rí ìbéèrè náà. Dé ibùdó kì í ṣe bí ìparí ìjẹ́rìí, bẹ́ẹ̀ ni kì í ṣe bí fífi ìrìnàjò tí a dáàbò bo ránṣẹ́.

Àwọn ètò àtijọ́ yàtọ̀ tó bẹ́ẹ̀ tí ìtọ́nisọ́nà tí a kọ fún wọn lè ṣi ni lọ́nà. Nígbà tí oníbàárà bá fi ipò méjèèjì lélẹ̀, dán èyí tí ẹlẹgbẹ́ rẹ ṣàkọsílẹ̀ wò, kì í ṣe èyí tí ó ní àbájáde wíwá púpọ̀ jù.

Wá ìpele tí ń kùnà

Pín ìṣòro náà sí ìdúnàádúrà, ìjẹ́rìí, ààbò ọmọ àti ìfiránṣẹ́ inú, kí o sì gba ẹ̀rí fún ìpele kan ní ẹ̀ẹ̀kan. Àtúnbẹ̀rẹ̀ tí ń yí àbájáde padà fún ìgbà díẹ̀ ń fi hàn pé ipò kan wà nínú rẹ̀ nìkan.

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

Gbígba pákẹ́tí fi hàn bóyá ìpààrọ̀ náà dé ọ̀dọ̀ ẹlẹgbẹ́ àti bóyá àwọn ìdáhùn ń padà wá, èyí tí ó ya ìṣòro àlẹ̀mọ́ sọ́tọ̀ kúrò nínú ìṣòro ẹ̀rí. Àkójọ ipò fi àwọn ìsopọ̀ ààbò tí a fi lélẹ̀ hàn, nítorí náà àkójọ òfìfo lẹ́yìn ìgbìyànjú ń tọ́ka sí ìdúnàádúrà kì í ṣe ìtọ́sọ́nà. Àkójọ ìlànà fi hàn èwo àwọn olùyàn ni a fi sórí ẹ̀rọ, àti níbẹ̀ gan-an ni a ti yọ ibi tí ó wà ní ìta àwọn ẹ̀ka kúrò. Ka àwọn ìjáde xfrm méjèèjì kí o tó fi ọwọ́ kan olùdarí, nítorí wọn ṣàpèjúwe ohun tí olùgbàlejò gbà gbọ́ kì í ṣe ohun tí olùdarí gbà.

Bí àwọn pákẹ́tí bá jáde tí kò sì sí ohun tí ó padà, gbé gbígba pákẹ́tí náà lọ sí ẹ̀gbẹ́ WAN ti olùdarí. Fífi àwọn gbígba méjèèjì wé yóò fi ibi tí a ti jù ú hàn láìsí àròsọ.

Pa ohun tí o kò nílò

Kọ̀ǹpútà gbé kan tí ń ṣiṣẹ́ kò fi hàn pé olùdarí ń bójú tó àwọn oníbàárà púpọ̀ lẹ́ẹ̀kan náà. Oníbàárà kọ̀ọ̀kan ń dá ipò ìtumọ̀ tirẹ̀ àti ìdúnàádúrà tirẹ̀, àwọn olùrànlá kan sì ń tọpinpin ṣíṣàn kan nìkan. Dán iye àwọn àpéjọ ìgbà kan náà tí o nílò gan-an wò, láti inú àwọn nẹ́tíwọ́kì tí o ń lò gan-an. Bí oníbàárà kejì bá kùnà nígbà tí èkínní ń gbèrú, ìyẹn ni àwárí náà, kì í ṣe ojú-ọ̀nà aláìdúróṣinṣin.

Fi àṣàyàn náà sílẹ̀ ní ṣíṣí nìkan nígbà tí gbígba pákẹ́tí bá fi hàn pé ó pọn dandan. Kọ ẹ̀dà firmware sẹ́gbẹ̀ẹ́ àbájáde náà, nítorí àwọn ìhùwàsí wọ̀nyí ń yí padà láàárín àwọn ìtúsílẹ̀. Èròǹgbà ni ojú-ọ̀nà oníbàárà tí o ti jẹ́rìí, kì í ṣe yíyaná tí o ti tan pẹ̀lú ìrètí.