Ibi tí VPN ojú-ìwé rẹ parí ni ó pinnu ohun tí a ṣàyẹ̀wò

Tunnel láàrín àwọn ojú-ìwé fi àlàyé kan pa tí ó pinnu gbogbo ètò ìṣàyẹ̀wò: ẹ̀rọ gangan tí pákẹ́tì inú fi hàn gẹ́gẹ́ bí ọ̀rọ̀ tí ó ṣe kedere. Gbogbo ohun tí ó wà ṣáájú ibi yẹn rí ESP, gbogbo ohun tí ó wà lẹ́yìn rẹ̀ sì rí IP lasan tí òfin lè mú. Fi ààlà sí ibi tí kò tọ̀nà, ògiri-iná tí o sanwó fún yóò di olùdarí tí ó ní ìwé-àṣẹ. Ìtọ́nisọ́nà ní ìsàlẹ̀ ya ìlà kí, lẹ́yìn náà ni ó béèrè ẹ̀rọ wo ni ó yẹ kí ó ni í.

Ya ìlà níbi tí pákẹ́tì ti dá ṣíṣe àkọ́kọ́

Nínú ipò tunnel, pákẹ́tì àkọ́kọ́ ni a ṣe àkọ́kọ́, a sì fi wé àkọ́sórí IP ode tuntun tí a darí sí ẹnubodè ẹlẹgbẹ́. Pákẹ́tì ode yẹn gbé ìlànà 50 fún ESP, nítorí náà ẹ̀rọ èyíkéyìí láàrín àwọn ẹnubodè méjèèjì lè darí rẹ̀ láìka àwọn àdírẹ́sì inú. Ẹ̀rọ àkọ́kọ́ tí ó yọ àkọ́kọ́ ni ààlà ààbò, ó sì tún ni ẹ̀rọ àkọ́kọ́ tí ó lè fi ètò ìṣàkóso sí ìṣàn inú. Gbogbo ohun tí ó wà nísàlẹ̀ ibi yẹn ni ìdarí lasan.

Sàmì sí àwòrán náà àwọn nǹkan mẹ́ta: ibi ìparí ode tí ó gba ESP, àwọn nẹ́tíwọ́kì ààbò tí a dárúkọ nínú ètò ìṣàkóso, àti ìfaragbá tó kàn tí pákẹ́tì tí a yọ àkọ́kọ́ ń ṣe. Bí àwọn mẹ́tẹ̀ẹ̀ta wọ̀nyí kò bá wà lórí ẹ̀rọ kan, o ní ìfàṣẹ́ tí ó yẹ kí a ṣe àpẹẹrẹ rẹ̀, kì í ṣe ibi ìṣàkóso kan ṣoṣo.

RFC 4301 pe ẹ̀rọ tí ó yọ àkọ́kọ́ ní ẹnubodè ààbò, ó sì ka ètò ìṣàkóso rẹ̀ gẹ́gẹ́ bí apá ààlà. Èyí jẹ́ ìpàlà tí ó wúlò ju ẹ̀ka ọjà lọ, nítorí ẹ̀rọ jẹ́ ààlà nígbà tí ó di ètò ìṣàkóso mú, kì í ṣe nígbà tí bébà dátà rẹ̀ sọ pé ògiri-iná.

Ògiri-iná gẹ́gẹ́ bí ìparí: ẹ̀rọ kan, ibi ètò ìṣàkóso kan

Nígbà tí ògiri-iná parí tunnel, olùdarí tí ó wà lókè kàn ní láti fi ESP dé ọ̀dọ̀ rẹ̀. Ògiri-iná ṣàyẹ̀wò ẹlẹgbẹ́, ó yọ àkọ́kọ́, ó sì fi àwọn òfin rẹ̀ tí ó sábà máa jẹ́ sí pákẹ́tì inú ní ọ̀nà sí VLAN àwọn sáfà. Èyí fún ibi kan láti ka ètò ìṣàkóso àti ibi kan láti ka àwọn àkọsílẹ̀, èyí tí ìgbéléwọ̀n sábà máa béèrè.

Ṣàyẹ̀wò àwọn ìyọ̀nda méjèèjì lọ́tọ̀. Gbígbà IKE àti ESP lọ sí ẹ̀rọ kì í ṣe òfin kan náà pẹ̀lú gbígbà kí ojú-ìwé jínjìn lè dé sáfà kan, ògiri-iná tí ó gba tunnel tí ó sì dí ìṣàn inú sì dàbí tunnel tí ó ti bàjẹ́ gangan láti ìparí kejì.

Iye ni pé ògiri-iná wà nísinsìnyí lórí ọ̀nà gbogbo ìrìnàjò ojú-ìwé, nítorí náà ìwọ̀n ìṣàn rẹ̀, àwọn ààlà ìpàdé àti ìhùwàsí rẹ̀ nígbà ìkùnà di ìhùwàsí tunnel fúnra rẹ̀. Wọ̀n ọ́ fún àwọn ìṣàn ojú-ìwé tí a so pọ̀, kì í ṣe fún àpẹẹrẹ ìwọlé jínjìn tí ó lè jẹ́ ìdí ríra rẹ̀.

Olùdarí gẹ́gẹ́ bí ìparí: ìfaragbá ìṣàyẹ̀wò di àṣàyàn

Nígbà tí olùdarí yọ àkọ́kọ́, pákẹ́tì ti ṣe kedere nígbà tí ó dé tábìlì ìdarí. Bí ògiri-iná ọ̀tọ̀ bá ní láti ṣàyẹ̀wò ìrìnàjò yẹn, olùdarí gbọdọ̀ fi í ránṣẹ́ la ògiri-iná, ọ̀nà ìpadà sì gbọdọ̀ padà bẹ́ẹ̀ kan náà. Ọ̀nà tààrà láti olùdarí sí VLAN àwọn sáfà máa ń yọ ògiri-iná kúrò lójú ọ̀nà ní ìdákẹ́jẹ́ tí ó sì fi í sílẹ̀ lórí àwòrán.

Èyí ni ìkùnà tí ó yẹ kí a wá nínú nẹ́tíwọ́kì tí ó ti wà: ọ̀nà méjì sí àkọ́kọ́ kan náà, ọ̀kan la ògiri-iná àti ọ̀kan tààrà, tí ọ̀nà tààrà sì ṣẹ́gun nípa gígùn àkọ́kọ́ tàbí métríkì. Tunnel ṣì ń gbé ìrìnàjò kọjá, ìṣàyẹ̀wò tí o gbà gbọ́ kò sì ṣẹlẹ̀.

Àwọn tunnel tí ó dá lórí ọ̀nà máa ń jẹ́ kí èyí hàn, nítorí tunnel jẹ́ ojú-ìpàdé tí o lè fi darí la ẹ̀rọ mìíràn. Àwọn tunnel tí ó dá lórí ètò ìṣàkóso yan ìrìnàjò pẹ̀lú aṣàyàn, èyí tí ó lè fi pákẹ́tì tí a yọ àkọ́kọ́ sílẹ̀ lórí olùdarí láìsí ibi mìíràn láti lọ.

Bèèrè àwọn ìbéèrè márùn-ún kan náà lọ́wọ́ àwọn olùdíje méjèèjì

Ìwé iṣẹ́ kúkúrú ṣẹ́gun matrixi àwọn ànímọ́, nítorí gbogbo ìbéèrè bá ìlà kan lórí àwòrán mu. Bèèrè lọ́wọ́ olùdíje kọ̀ọ̀kan:

• Àwọn ẹ̀yà IKE wo, àwọn ọ̀nà ìjẹ́rìí ẹlẹgbẹ́ àti àwọn àpẹẹrẹ ìdarí wo ni ẹ̀yà yìí ń gbà ní ti gidi?
• Níbo ni a gba ESP, níbo sì ni a gba ìṣàn tí a yọ àkọ́kọ́ láyè tàbí kí a kọ̀ ọ́?
• Báwo ni àwọn agbàlejò àdúgbò ṣe kọ́ àwọn àkọ́kọ́ jínjìn, báwo sì ni ẹ̀gbẹ́ kejì ṣe kọ́ tìrẹ?
• Ìwọ̀n ìṣàn, iye ìpàdé àti ìhùwàsí nígbà ìkùnà wo ni ibi ìparí gbọdọ̀ faradà fún ẹrù iṣẹ́ gidi?
• Ta ni ó ni àwọn ẹ̀rí ẹlẹgbẹ́, ètò ìṣàkóso àti ọ̀nà ìmúpadà nígbà tí tunnel bá jẹ́ ohun tí ó bàjẹ́?

pfSense ṣàkọsílẹ̀ IPsec tí ó dá lórí ètò ìṣàkóso àti tí ó dá lórí ọ̀nà gẹ́gẹ́ bí àwọn àpẹẹrẹ ọ̀tọ̀ pẹ̀lú àwọn ààlà ọ̀tọ̀, ìyàtọ̀ yìí sì ṣe pàtàkì ju àmì lórí àpótí lọ. Ṣàyẹ̀wò ipò gangan àti ìjọ̀sẹ́ ìrìnàjò tí a yọ àkọ́kọ́ tí a gbà ní ẹ̀yà tí ìwọ yóò fi sílẹ̀ ní ti gidi.

Bí olùdíje kan kò bá lè dáhùn ìbéèrè kejì pẹ̀lú òfin tí o lè kà, kì í ṣe ààlà tí o fẹ́, bí ó tiẹ̀ ṣe gbogbo ohun mìíràn dáadáa tó. Béèrè fún ọ̀rọ̀ òfin dípò bẹ́ẹ̀ẹ́, kí o sì ka ìdáhùn tí kò ṣe kedere sí rárá.

Ṣàyẹ̀wò ọ̀nà pẹ̀lú gbígbà, kì í ṣe pẹ̀lú àwòrán

Àwòrán ṣàpèjúwe èrò, gbígbà sì ṣàpèjúwe ìhùwàsí, nítorí náà jẹ́rìí i pé ojú-ìpàdé wo ni ó gbé ESP àti èwo ni ó gbé ìṣàn inú kí o tó gbẹ́kẹ̀lé èyíkéyìí nínú wọn.

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

Bí gbígbà àkọ́kọ́ bá fi ESP tí ń bọ̀ hàn tí èkejì sì fi pákẹ́tì inú hàn ní ẹ̀gbẹ́ LAN, ibi ìyọ àkọ́kọ́ wà níbi tí o ro. Bí pákẹ́tì inú bá farahàn ní ẹ̀ka tí ó forí ògiri-iná, ìdarí kò tọ̀nà, ohunkóhun tí ọ̀rọ̀ ètò ìṣàkóso sọ. Àkójọ xfrm yóò wá fi hàn àwọn aṣàyàn wo ni a fi sórí ẹ̀rọ àti sí ọ̀nà wo.

Tún gbígbà ṣe lórí ọ̀nà ìpadà, nítorí ìdarí aláìdọ́gba sábà máa wà nígbà tí ojú-ìwé kan ní àwọn ìjáde méjì tí ó ṣeé ṣe. Tunnel tí ó ṣiṣẹ́ ní ọ̀nà kan tí ó sì parí ní àkókò ní ọ̀nà kejì ni ó fẹ́rẹ̀ jẹ́ èyí nígbà gbogbo, kò sì sí àtúnṣe ètò ìṣàkóso ní ẹ̀gbẹ́ kejì tí yóò tún un ṣe.