Ọ̀nà àkọ́kọ́ XFRM gbé IKE àti ESP mì: pa ọ̀nà ìta mọ́

A ti dáàbò bo ìṣàn, tunnel ń ṣiṣẹ́, lẹ́yìn náà ó kú ní ìmúdájú kọ́kọ́rọ́ tó tẹ̀lé. Ọ̀nà àkọ́kọ́ nípasẹ̀ interface XFRM ṣàpèjúwe ìṣàn tí o fẹ́ dáàbò bo. Ó tún gbé àwọn pákẹ́tì tí a nílò láti tẹ̀síwájú ìdáàbò bò mì.

Àwọn ibi méjì tí ó kàn kì í ṣe pàṣípààrọ̀. Ìtọ́nà gbọ́dọ̀ sọ èyí ní kedere.

Ibi tí wíwá peer ń lọ ní tòótọ́

Kọ àwọn òfin tí ń ṣiṣẹ́ sílẹ̀, tábìlì tí ó ní ọ̀nà XFRM àti àdírẹ́sì gbangba peer. Lẹ́yìn náà wo ọ̀nà tí ìsopọ̀ ìta yóò gbà pẹ̀lú orísun àti àmì gidi rẹ̀. Ibi tí ó wọ́pọ̀ kò sọ nǹkan kan nípa ọ̀nà ìṣàkóso yẹn. Orísun àti àmì gidi nìkan ni ó ń fúnni ní ìdáhùn tí ó wúlò.

Ìsopọ̀ àkọ́kọ́ tí ó ṣàṣeyọrí tún ń fi díẹ̀ hàn. Àṣìṣe sábà máa ń farahàn lẹ́yìn tí ìgbékalẹ̀ ọ̀nà bá yí ìdáhùn padà. Ìbẹ̀rẹ̀ ṣàṣeyọrí, lẹ́yìn náà ìmúdájú àkọ́kọ́ kò ṣàṣeyọrí.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Bí wíwá peer bá parí nínú interface XFRM, àwọn pákẹ́tì ìta ni a ń tọ́nà wọn sínú tunnel tí wọ́n fúnra wọn kọ́. Ìyẹn ni yíyí, tí ó hàn nínú àṣẹ kan.

Àwọn àṣàyàn ìyọkúrò lórí gateway òde òní

Ìwé strongSwan nípa VPN tí ó dá lórí ìtọ́nà gbé àwọn ìdáhùn méjì tí ó wúlò kalẹ̀. Ọ̀kan ń sàmì sí IKE àti ESP kí òfin tí ó tọ́ka sí tábìlì XFRM má bàa bá wọn mu. Èkejì fi ọ̀nà peer tàbí ìyọkúrò sílẹ̀ tí wíwá ṣì lè dé.

Yan èyí tí àkójọpọ̀ òfin rẹ lè sọ láìsí ipa ẹ̀gbẹ́. Àmì máa ń mọ́ nígbà tí ìyókù stack ti ń lo àmì. Ó léwu nígbà tí mask kan náà túmọ̀ sí nǹkan mìíràn nínú òfin mìíràn. Àwọn irú pákẹ́tì méjèèjì nílò ìtọ́jú yẹn lọ́nà kan.

Sàmì sí IKE nìkan fi àwọn pákẹ́tì dátà sílẹ̀ lórí ọ̀nà tí a mú. Èyí ń dá tunnel tí ó bá ọwọ́ rẹ̀, lẹ́yìn náà kò gbé nǹkan kan.

Àmì ni bítì kan nínú fwmark pákẹ́tì tí kò sí nǹkan mìíràn lórí gateway tí ó ń béèrè fún: 0x1 pẹ̀lú mask 0x1 ni àṣàyàn tí ó wọ́pọ̀, a sì gbọ́dọ̀ gbé e ní ibi méjì kí ìyọkúrò lè ṣiṣẹ́. Charon nílò ó lórí socket IKE, àwọn ètò àmì tí ń wọlé àti tí ń jáde ti ìsopọ̀ ọmọ sì nílò iye kan náà kí àwọn pákẹ́tì tí a kó sínú pẹ̀lú lè jáde pẹ̀lú àmì. Mask 0x1 dípò 0xffffffff fi àwọn bítì tó kù sílẹ̀ lómìnira, èyí ṣe pàtàkì nígbà tí ẹ̀ka mìíràn ti ń sàmì sí pákẹ́tì lórí host kan náà. Tí a bá gbé méjèèjì, a kọ òfin gẹ́gẹ́ bí ìyọkúrò, nítorí náà àwọn pákẹ́tì alámì ń rékọjá tábìlì tí ó ní ọ̀nà XFRM, wọ́n sì ṣubú sínú tábìlì àkọ́kọ́:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Lẹ́yìn náà ka ìdáhùn pẹ̀lú àmì tí a lò. Láìsí rẹ̀, ìwọ ń ṣàyẹ̀wò ọ̀nà tí ìṣàn tí a dáàbò bo ń gbà, èyí tí ó tako ìbéèrè apá yìí.

Kí ni ìgbékalẹ̀ aládàáṣiṣẹ́ ń gbà nípa kíkọ́

Ìgbékalẹ̀ ọ̀nà aládàáṣiṣẹ́ fún interface XFRM dá lórí ẹ̀dà strongSwan àti ìṣètò rẹ̀. ID interface, ìlànà tí a fi sórí ẹ̀rọ àti ìsopọ̀ gbọdọ̀ tọ́ka sí àwọn ohun tí a ní lọ́kàn. Àìbáramu máa ń farahàn gẹ́gẹ́ bí ọ̀nà tí ó ń tọ́ka ní ìdákẹ́jẹ́ sí ibi gidi kan.

Dídà nọ́mbà tábìlì tàbí mask àmì láti gateway mìíràn ni bí ìkọlù ṣe ń bẹ̀rẹ̀. Kọ́kọ́ ṣàyẹ̀wò ohun tí ó ti ń lò ó. Ìkọlù ń nípa lórí ìṣàn tí ó jinna réré ju tunnel tí o fẹ́ yí padà, àmì àìsàn sì kì í tọ́ka sí ẹ̀dà náà.

Àwọn ìyípadà àdírẹ́sì peer jẹ́ apá kan ìdàpọ̀. Ọ̀nà host fún àdírẹ́sì àná kì í ṣe ètò ìmúpadàbọ̀ ibi ìparí, nígbà tí àmì yóò ye ìyípadà yẹn.

Ṣọ́ra fún ìmúdájú àkọ́kọ́

Ṣàyẹ̀wò ọ̀nà ìta lẹ́yìn tí a ti fi àwọn ọ̀nà tí a dáàbò bo sórí ẹ̀rọ, kì í ṣe kí ó tó. Lẹ́yìn náà ṣọ́ra fún ìmúdájú tó tẹ̀lé àti pàṣípààrọ̀ ohun èlò kan. Àṣìṣe sábà máa ń farahàn ní ìyípadà yẹn, kì í ṣe ní ìbẹ̀rẹ̀.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Yíyọ ọ̀nà àkọ́kọ́ tí a dáàbò bo kúrò fún ìgbà díẹ̀ sábà máa ń mú ìsopọ̀ padà. Ìyọnu yẹn jẹ́ àyẹ̀wò, kì í ṣe ìparí.

Èròǹgbà ni ìpínyà tí ó dúró ṣinṣin láàárín ìṣàn inú àti àwọn pákẹ́tì ìta tí ń gbé e. Kọ ọ̀nà tí a yàn àti tábìlì tàbí àmì rẹ̀ sínú àkọsílẹ̀ gateway. Bí bẹ́ẹ̀ kọ́, ẹni tó kàn yóò fi yíyí náà padà.