Báwo ni IPsec tó dá lórí ọ̀nà ṣe ń ṣiṣẹ́ pẹ̀lú XFRM interface

IPsec tó dá lórí ọ̀nà ń fi ìpinnu kan tí àwọn olùyàn ìlànà máa ń ṣe tẹ́lẹ̀ fún tábìlì ọ̀nà. Ní Linux, apá tó ń jẹ́ kí èyí ṣeé ṣe ni XFRM interface: ẹ̀rọ àròsọ kan tí a fi àmì ìdánimọ̀ interface, kì í ṣe olùyàn, ń so ìrìnàjò rẹ̀ mọ́ ipò IPsec. Ṣíṣe ọ̀kan ń gba àṣẹ kan ṣoṣo, kò sì fi ohunkóhun hàn nípa bóyá ojú-ọ̀nà kan wà. Ẹ̀rọ náà jẹ́ ìkọ́ kan láàárín ọ̀nà àti ìlànà ààbò, a sì gbọdọ̀ ṣètò ẹ̀gbẹ́ méjèèjì ìkọ́ yẹn kí a tó dáàbò bo ohunkóhun.

Kí ni ẹ̀rọ náà àti kí ni kì í ṣe

XFRM interface jẹ́ ọwọ́ ọ̀nà. Àwọn pákẹ́tì tí a gbà ọ̀nà wọn sínú rẹ̀ ni a ń so mọ́ àwọn ìlànà XFRM tó ń tọ́ka sí àmì ìdánimọ̀ interface kan náà, bí ìlànà àti ipò bá sì wà, a ń fi wọ́n mọ́ àpò. Láìsí wọ́n, interface wà, àwọn kọ́ńtà kò ń yipada, ìrìnàjò sì ń lọ sí ibi tí kò ní èrè.

Èyí ni ìpín àkọ́kọ́ fún àyẹ̀wò. Ọ̀nà tó lọ sínú ẹ̀rọ jẹ́ òtítọ́ ọ̀nà, ipò tí a fi sórí jẹ́ òtítọ́ ààbò, kọ́ńtà tó ń gòkè lórí ẹ̀rọ kì í ṣe ọ̀kan nínú àwọn méjèèjì. Nígbà tí àwọn ènìyàn bá sọ pé ojú-ọ̀nà wà ní òkè nítorí interface fi UP hàn, wọ́n ń ṣàpèjúwe àwọn àsíá ìsopọ̀ ẹ̀rọ àròsọ tí kò ní alábàákẹ́gbẹ́ tirẹ̀. Àsíá náà túmọ̀ sí pé a dá ẹ̀rọ náà, a sì mú u ṣiṣẹ́, kò ju bẹ́ẹ̀ lọ.

Ààlà mìíràn: àmì ìdánimọ̀ interface kì í ṣe orúkọ. Ẹ̀rọ méjì tó ní orúkọ tó jọra àti àmì ìdánimọ̀ tó yàtọ̀ kì í pín ipò, ìsopọ̀ tí a ṣètò pẹ̀lú àmì ìdánimọ̀ tí kò tọ́ yóò sì fi ipò tí kò ọ̀nà kankan yóò lò rí.

Kọ́ ọ̀kan ní ọ̀nà tó tọ́

Bẹ̀rẹ̀ pẹ̀lú ẹ̀rọ ìta àti nọ́mbà tí ìwọ yóò tún fi sínú ìṣètò daemon. Àpẹẹrẹ náà ń lo eth0 gẹ́gẹ́ bí interface ìta àti 42 gẹ́gẹ́ bí àmì ìdánimọ̀, àwọn àdírẹ́sì tí ó yẹ kí o fi tìrẹ rọ́pò.

Gbe ẹ̀rọ náà sókè, lẹ́yìn náà jẹ́rìí àmì ìdánimọ̀ tí kernel kọ sílẹ̀ kí o tó fọwọ́ kàn ìṣètò VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Nísisìyí ṣètò ìsopọ̀ náà nínú strongSwan pẹ̀lú àmì ìdánimọ̀ kan náà, nítorí daemon gbọdọ̀ fi àwọn ìlànà àti ipò tó ń tọ́ka sí i sórí. Fi àwọn olùyàn ìrìnàjò ìbílẹ̀ àti ti jínjìn sí ipin tí ìwọ ń fẹ́ gbà ọ̀nà, lẹ́yìn náà gbà ipin yẹn ọ̀nà sínú ẹ̀rọ náà. Ìṣètò daemon àti tábìlì ọ̀nà gbọdọ̀ fohùn ṣọ̀kan lórí àmì ìdánimọ̀ àti ibi tí wọ́n ń lọ, kò sì sí ọ̀kan tó ń pèsè èkejì.

Jẹ́ kí IKE àti ESP wà ní ìta ọ̀nà ojú-ọ̀nà

Ọ̀nà àkọ́kọ́ tó ń tọ́ka sínú ẹ̀rọ XFRM ń mú àwọn pákẹ́tì tí a fi mọ́ àpò àti ìrìnàjò tí wọ́n ń gbé. Àbájáde jẹ́ ìyípo: ẹnubodè ń gbìyànjú láti fi ESP tirẹ̀ ránṣẹ́ gba ojú-ọ̀nà tí ESP gbọdọ̀ kọ́.

Àtúnṣe náà ni ọ̀nà kan tó ṣe pàtó fún àdírẹ́sì ìta alábàákẹ́gbẹ́ gba interface ti ara, ó sì ń borí ti àkọ́kọ́ nítorí ó ń bá àwọn bítì púpọ̀ mu. Gbígbà ọ̀nà tó dá lórí àmì ń ṣe iṣẹ́ kan náà nígbà tí àwọn ojú-ọ̀nà púpọ̀ bá pín tábìlì kan, strongSwan sì kọ àwọn ọ̀nà méjèèjì sílẹ̀ fún ìgbékalẹ̀ tó dá lórí ọ̀nà.

Ohunkóhun tí o bá yàn, jẹ́rìí pé pákẹ́tì ìta jáde láìsí àpò. Àyẹ̀wò kíákíá ni láti ping àdírẹ́sì ìta alábàákẹ́gbẹ́ lẹ́yìn tí ojú-ọ̀nà gòkè; bí èyí bá kùnà nígbà tí interface wà lókè, fura sí gbígbà pákẹ́tì dípò ìlọsí. Ìdí kan náà kan póòtù IKE, nítorí ìrìnàjò UDP ti daemon fúnra rẹ̀ kò gbọdọ̀ gba ọ̀nà sínú ẹ̀rọ tí ó ń gbìyànjú láti dá.

Yẹ àwọn kọ́ńtà wò ní ibi méjì kí o tó da ìdìbò sí ìpàrokò

Àwọn kọ́ńtà interface àti àwọn kọ́ńtà ipò ń díwọ̀n àwọn ìpele tó yàtọ̀. Àwọn pákẹ́tì tí a gba ọ̀nà wọn sínú ẹ̀rọ ń pọ̀ sí i lórí ẹ̀rọ pàápàá bí ipò kankan kò bá bá a mu, nígbà tí àwọn kọ́ńtà ipò ń yipada fún ìrìnàjò tí a fi mọ́ àpò ní ti gidi nìkan.

Ka àwọn méjèèjì, lẹ́yìn náà ka ojú tí daemon ní lórí ìsopọ̀ ọmọ:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Àwọn kọ́ńtà ẹ̀rọ tó ń gòkè pẹ̀lú àbájáde ipò tó ṣófo túmọ̀ sí pé gbígbà ọ̀nà ń ṣiṣẹ́ ṣùgbọ́n ìlànà kò bá a mu, sábà máa ń jẹ́ àṣìṣe àmì ìdánimọ̀ tàbí olùyàn. Àwọn kọ́ńtà ipò tó ń gòkè nígbà tí ẹ̀gbẹ́ jínjìn kò ròyìn ohunkóhun túmọ̀ sí pé àwọn pákẹ́tì ń jáde ṣùgbọ́n kì í dé tàbí kùnà ìjẹ́rìí, èyí tó ń tọ́ka sí ọ̀nà tàbí ìṣètò alábàákẹ́gbẹ́. Ìsopọ̀ ọmọ tí a kọ sílẹ̀ láìsí ìrìnàjò jẹ́ ìṣòro olùyàn ní ẹ̀gbẹ́ kan, kì í ṣe ẹ̀rọ ìpàrokò tó bàjẹ́.

Pinnu ẹni tí yóò fi àwọn ọ̀nà sórí

Àwọn olówó méjì fún tábìlì ọ̀nà kan ni orísun tí ó sábà ń ṣokùnfà ìmìtìtì. Bí daemon bá ń fi àwọn ọ̀nà sórí fúnra rẹ̀, olùdarí nẹ́tíwọ́kì rẹ kò gbọdọ̀ tún fi ọ̀nà àkọ́kọ́ sórí gba ẹ̀rọ kan náà, ọ̀nà tí a fi ọwọ́ fi sórí tí script ìbẹ̀rẹ̀ ṣe yóò sì di yíyọ kúrò ní ìgbà tí daemon bá tún ṣètò.

Yan olówó kan kí o sì kọ ọ́ sílẹ̀. Nígbà tí daemon bá ni àwọn ọ̀nà, jẹ́ kí script ìbẹ̀rẹ̀ wà ní ìta tábìlì kí ìtumọ̀ ìsopọ̀ sì ṣàpèjúwe àwọn olùyàn ìrìnàjò. Nígbà tí olùdarí nẹ́tíwọ́kì bá ni wọ́n, pa fífi sórí fúnra rẹ̀, kí o sì gbà pé daemon kò ní tún ọ̀nà tó ṣá lọ ṣe nígbà ìsopọ̀ mìíràn.

Àwọn òfin gbígbé jáde àti ògiri iná jẹ́ ìpinnu ọ̀tọ̀ lórí èyí, nítorí ẹnubodè tó ń gbà ìrìnàjò àwọn agbàlejò mìíràn gbọdọ̀ ní àwọn méjèèjì. IPsec tó dá lórí ọ̀nà ń jẹ́ kí ó rọrùn láti ṣàpèjúwe ìrìnàjò yẹn pẹ̀lú àwọn irinṣẹ́ ọ̀nà lasan; kò jẹ́ kí ìpele ìlànà di àṣàyàn.