ESP tí ń jáde láìsí ìdáhùn kò túmọ̀ sí pé VPN ti kú
ESP ń dáàbò bo ọ̀nà kan fún ìdìpọ̀ kọ̀ọ̀kan, kò sì fi ohunkóhun hàn. Fi ìjíròrò inú àti SA tí ń wọlé wé ara wọn kí o tó sọ pé sáfà kò dáhùn.
O gba ìrìnàjò orí ẹ̀rọ IPsec, o rí àwọn pákẹ́tì ESP tí ń jáde, o kò rí ohunkóhun tí ń padà wá, o sì parí pé ẹ̀gbẹ́ tí ó jìnnà ti bàjẹ́. Ìgbọ́nàwọ́ yẹn kò ṣe àtìlẹ́yìn fún ìparí yẹn. ESP ń dáàbò bo ọ̀nà kan nínú ìjíròrò, kò sì fi ohunkóhun hàn ní ìpele IP, nítorí náà àìsí ESP tí ń padà wá lè túmọ̀ sí pé ohun tí ohun èlò náà yóò sọ kò sí, bákan náà bí ó ṣe lè túmọ̀ sí pé ojú irin náà ti kú. Ka ìpààrọ̀ inú àti ipò ẹ̀gbẹ́ tí ń gba kí o tó dá ẹnikẹ́ni nínú àwọn ẹ̀gbẹ́ méjèèjì ẹ̀bi.
Àròsọ: gbogbo pákẹ́tì tí a dáàbò bo ń gba ìdáhùn
ESP kì í ṣe ìlànà ìbéèrè àti ìdáhùn. Ó ń fi àṣírí bo, ó sì ń jẹ́rìí ohunkóhun tí ìlànà yàn, ẹni tí ń gba á sì ń ṣàyẹ̀wò, ń tú àṣírí, ó sì ń fi pákẹ́tì inú yẹn lọ láìṣe pákẹ́tì tirẹ̀. Ìbéèrè UDP tí ibi tí a ń lọ kò kọbi ara rẹ̀ sí, tàbí ìró ICMP tí ìlànà wíwọlé ń sọ nù, ń mú ìdákẹ́jẹ́ẹ́ wá ní ẹ̀gbẹ́ méjèèjì gẹ́gẹ́ bí èsì tí ó tọ́. Bí a bá ka ìdákẹ́jẹ́ẹ́ yẹn sí àìṣeéṣe ìrìnàjò, yóò rán ọ lọ wá àbùkù nẹ́tíwọ́kì tí kò tíì sí rí.
Ohun tí ìgbọ́nàwọ́ ọ̀nà kan ń fi hàn ní ti gidi ni pé ẹ̀ka ẹ̀rọ tí ń ránṣẹ́ fi àṣírí bo nnkan ní ibi ìwò yẹn. Kò sọ nnkan nípa bíbá dé, kò sì sọ nnkan nípa èrò láti dáhùn. Ìbéèrè tí ó wúlò kì í ṣe „kí ni kò fi ní ìdáhùn“ bíkòṣe „kí ni ìjíròrò inú yẹ kí ó ti mú jáde“.
SA méjì, SPI méjì, ìjíròrò kan
Àwọn ìdìpọ̀ ààbò IPsec jẹ́ ọ̀nà kan, nítorí náà ìpààrọ̀ ààbò déédé ń ṣiṣẹ́ ìdìpọ̀ tí ń wọlé àti ìdìpọ̀ tí ń jáde pẹ̀lú àwọn ìdánimọ̀ ọ̀tọ̀ọ̀tọ̀ àti ipò olómìnira. Wíwa ìrìnàjò tí ń padà wá nípasẹ̀ SPI ti pákẹ́tì tí ń jáde jẹ́ àṣìṣe ẹ̀ka, nítorí pé ìdáhùn kankan ń rìn lábẹ́ SA tí ń jáde ti ẹnikejì pẹ̀lú SPI tirẹ̀. Dípò bẹ́ẹ̀, so péjọ pọ̀ nípasẹ̀ àwọn olùyàn ìrìnàjò àti àwọn àdírẹ́sì ẹnikejì.
Ìyípadà kọ́kọ́rọ́ ń mú àwòrán dàrú fún ìṣẹ́jú àáyá díẹ̀, nítorí ipò àtijọ́ àti ipò àrọ́pò lè wọ ara wọn. Bí àmì bá bẹ̀rẹ̀ ní àyíká ìyípadà kọ́kọ́rọ́, kó àwọn ìdánimọ̀ ìdìpọ̀ àti àwọn àmì àkókò jọ, kì í ṣe orúkọ ìsopọ̀ nìkan.
Ohun tí ẹni tí ń gba gbọ́dọ̀ ṣe kí ohunkóhun tó dáhùn
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Ìlà kọ̀ọ̀kan ń kùnà lọ́nà tirẹ̀, àbùkù kọ̀ọ̀kan sì ní olówó ọ̀tọ̀ọ̀tọ̀, ìdí nìyẹn tí ìgbọ́nàwọ́ kan kò fi lè yà wọ́n sọ́tọ̀. Olùkà pákẹ́tì tí ń wọlé ni ẹ̀rí tààrà kan ṣoṣo pé ó dé, nítorí pé pákẹ́tì tí kò kọjá ìjẹ́rìí tàbí àyẹ̀wò àtúnṣe ni a ń sọ nù láìsí ìdáhùn kankan. Nítorí náà ẹnikejì tí olùkà rẹ̀ tí ń wọlé kò tíì mì kò fún ọ ní ìsọfúnni kankan nípa ìlànà rẹ̀.
Ìfiṣẹ́ni jẹ́ ìgbésẹ̀ ọ̀tọ̀ sí ìtúàṣírí. Ipò lè tọ́, pákẹ́tì sì ṣì lè di sísọ nù nígbà tí ó yá nípasẹ̀ ìlànà wíwọlé tàbí ọ̀nà tí kò ní ibi tí a ń lọ nínú, nítorí náà ṣàyẹ̀wò bóyá ẹ̀rọ tí a ń lọ ti rí ọ̀rọ̀ tààrà dípò kí o rò pé olùkà mímọ́ túmọ̀ sí pé pákẹ́tì lọ síbi tí o fẹ́.
ESP ìbílẹ̀ kì í ṣe UDP
ESP ìbílẹ̀ ni ìlànà IP 50, tí kì í ṣe TCP tàbí UDP, kò sì ní ibùdókọ̀ kankan. Nítorí náà òfin ògiri iná tí ó gba IKE láàyè lórí UDP 500 kò sọ nnkan nípa ọ̀nà dátà, àyọ̀ tí a kọ yí àwọn ibùdókọ̀ ká lè jẹ́ kí ojú irin gbàdúrà, lẹ́yìn náà ó sọ gbogbo ohun tí a gbé inú rẹ̀ nù. Dán ọ̀nà dátà wò lọ́nà ọ̀tọ̀, ní ipò tí o kíyèsí ní ti gidi.
Lẹ́yìn NAT, ìrísí yí padà: ẹrù tí a dáàbò bo ń rìn nínú UDP, ní ọ̀pọ̀lọpọ̀ ìgbà lórí ibùdókọ̀ 4500, gẹ́gẹ́ bí RFC 3948 ṣe ṣàlàyé. Ṣàkọsílẹ̀ ipò tí ń ṣiṣẹ́ kí o tó kọ òfin kankan, nítorí ẹ̀rọ kan lórí ọ̀nà lè tọ́jú ESP ìbílẹ̀ àti ESP tí a fi UDP wé lọ́nà tí ó yàtọ̀ pátápátá, àwọn àpótí àárín kan sì ń gba ọ̀kan láàyè, wọ́n ń sọ èkejì nù.
Ka àwọn olùkà tí ó jẹ mọ́ ìṣẹ̀lẹ̀ yìí
Lórí ẹ̀rọ strongSwan, swanctl --list-sas ń ròyìn àwọn olùkà pákẹ́tì àti báìtì fún ìdìpọ̀ kọ̀ọ̀kan ní ẹ̀gbẹ́ méjèèjì, èyí tí ó tó láti pín „kò tíì dé rí“ kúrò nínú „ó dé, a kò dáhùn“. Lórí Linux, /proc/net/xfrm_stat ń ka àwọn àìṣeéṣe àpapọ̀ bí ipò tí ó ṣá, ìlànà tí ó ṣá àti àṣìṣe ìlànà. Àwọn àpapọ̀ yẹn ń kó jọ láti ìgbà ìbẹ̀rẹ̀, wọ́n sì jẹ́ ti àyè orúkọ nẹ́tíwọ́kì kan, nítorí náà iye ńlá kì í ṣe ìfìdí.
Gba ìkàwé méjì ní àyíká fèrèsé ìṣẹ̀lẹ̀ nínú àyè orúkọ tí ó tọ́, kí o sì fi àwọn ìyàtọ̀ wé ara wọn, bí bẹ́ẹ̀ kọ́ ìwọ yóò so àwọn àṣìṣe ọ̀sẹ̀ tí ó kọjá mọ́ tikẹ́ẹ̀tì ọ̀sán yìí. Fi àyè orúkọ àti àwọn àmì àkókò méjèèjì sínú tikẹ́ẹ̀tì kí olùkà tí ń bọ̀ lè tún ìfiwéra ṣe dípò kí ó gbẹ́kẹ̀ lé àpapọ̀.
Dárúkọ ìgbésẹ̀, kì í ṣe ẹni tí a fẹ̀sùn kàn
Ìparí tí ó wúlò ń sọ ibi tí pákẹ́tì dúró: a kò gbà á rí, a gbà á a sì sọ ọ́ nù, a fi í lọ ṣùgbọ́n kò sí ìdáhùn, tàbí a dáhùn ó sì sọnù ní ọ̀nà ìpadà. Ọ̀kọ̀ọ̀kan wọ́n ń tọ́ka sí olówó ọ̀tọ̀ọ̀tọ̀ àti àṣẹ tí ó tẹ̀ lé e. „Kò sí ìdáhùn láti sáfà VPN“ ń kó àbùkù mẹ́rin tí ó yàtọ̀ pọ̀ sínú gbólóhùn kan tí ìgbọ́nàwọ́ kò tíì dá lẹ́bi rí.
Jẹ́ kí àwọn ìgbọ́nàwọ́ jẹ́ tóóró, kí o sì pa ipò kérẹ́nẹ̀lì àìṣeéṣe mọ́ kúrò nínú àwọn tikẹ́ẹ̀tì, nítorí pé ó lè gbé àwọn ohun èlò kọ́kọ́rọ́ tí kò yẹ kí ó kúrò lórí ẹ̀rọ. Àwọn ìyàtọ̀ olùkà àti àwọn àmì àkókò ni àwọn apá tí ó yẹ kí a fi lé ẹni tí ó kàn lọ́wọ́.