IPsec-verkeerskeurders: wat hulle dek en wat hulle nie dek nie

Verkeerskeurders benoem die binneste verkeer wat ’n IPsec-ooreenkoms beskerm, en die paar word onderhandel eerder as aangeneem. Twee eindpunte kan mekaar volkome verifieer en steeds verskil oor watter pakkette binne die tonnel hoort. Daardie verskil is onsigbaar in die verbindingstatus, wat gewoonlik ’n gesonde tonnel rapporteer. Om die keurders van beide kante te lees en dan een bestemming te volg, vind dit vinniger as enige mate van beleidsredigering.

Lees hulle van beide kante

Elke eindpunt beskryf sy eie kant as plaaslik en die ander kant as afgeleë. Dieselfde paar voorvoegsels verskyn dus omgeruil in die twee konfigurasies, en dit is korrek eerder as teenstrydig. Om die perspektief om te keer is die eerste ding om te doen wanneer ’n werkende ooreenkoms op papier verkeerd lyk. Om twee lêers langs mekaar te vergelyk sonder om hulle om te ruil, lewer ’n wanpassing wat nie bestaan nie.

Die waardes is nie altyd enkele subnetwerke nie. IKEv2-keurders kan adresreekse, protokolnommers en poortreekse dra, en dit is hoe ’n beleid een diens beskerm in plaas van ’n hele netwerk. ’n Keurder wat nouer is as die beoogde verkeer lewer ’n tonnel wat sommige bestemmings dra en ander stilweg uitsluit.

Skryf beide kante in een tabel voordat jy enigiets verander. Die oefening besleg gewoonlik die vraag sonder om aan ’n konfigurasielêer te raak.

Vernou is die responder se besluit

’n Inisieerder stel voor, en die responder mag slegs ’n subset aanvaar. IKEv2 laat die responder toe om die aangebode verkeerskeurders te vernou, en die vernoude resultaat is wat werklik geïnstalleer word. Om die initiërende konfigurasie te lees, beskryf dus ’n aanbod, nie die ooreenkoms nie.

Dit is waarom ’n subnet wat by die kliënt bygevoeg word, ’n werkende tonnel kan lewer wat steeds die nuwe bestemming weier. Die bediener het die aanbod vernou terug na wat sy beleid toelaat, terwyl die kliënt se lêer steeds die wyer reeks lys. Slegs die onderhandelde toestand wys die waarheid: op Linux rapporteer ip xfrm policy en die child-SA-lys in strongSwan se IKEv2-dokumentasie wat geïnstalleer is eerder as wat versoek is. Wanneer die twee verskil, is dit die responder se beleid wat verander moet word.

’n Verwerpte voorstel is ’n ander simptoom as ’n vernoude een. Verwerping verskyn in die onderhandelingslog en laat glad geen child-assosiasie nie.

Volg een bestemming van begin tot end

Kies ’n werklike bestemming plus die bronadres wat die kliënt daarvoor sou gebruik, en volg dan daardie paar deur drie onafhanklike besluite. Die roete kies ’n pad, die keurder besluit of daardie pad beskerm word, en die firewall besluit of die pakket toegelaat word. Elkeen kan op sy eie misluk, en ’n breë keurder herstel nie een van die ander nie.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Die roetevraag noem die koppelvlak en bronadres wat die pakket sou dra. Die beleidslys wys of daar ’n passende tonnelbeleid vir daardie paar bestaan, insluitend sy rigting en vlak. Die SA-lys wys die onderhandelde child-keurders saam met tellers, so ’n child-assosiasie met nul pakkette nadat verkeer probeer is, is die kenmerk van keurders wat uitsluit wat gestuur word. Drie opdragte, drie verskillende antwoorde, en net een van hulle verduidelik ’n stilweg verwerping.

As die child-tellers beweeg terwyl die toepassing steeds misluk, sit die probleem anderkant die tonnel. Dit verskuif die ondersoek na die verre gasheer se luisteraar of firewall eerder as na die keurders.

Hou die twee doelwitte apart

Om ’n kantoorsubnet te beskerm en om alle blaaiery deur ’n afgeleë uitgang te stuur, is verskillende vereistes met verskillende keurders. ’n Profiel wat vir die een gebou is, pas selde by die ander, en om hulle te meng lewer óf ’n lek óf ’n gebroke splitsing. Om die beskermde reeks te verbreed, beteken om beide eindpunte en hulle aanstuurbeleid te verander, want ’n eensydige verandering word ’n verwerpte voorstel. Dit is die mees algemene manier waarop ’n werkende tonnel ophou werk ná ’n klein redigering.

Keurders beskryf kriptografiese dekking, roetes kies paaie, en toepassings dwing hulle eie toestemmings af. ’n Tonnel wat alles dek, kan steeds nie ’n diens bereik wat aan loopback gebind is nie, en ’n roete in die tonnel in het steeds ’n keurder nodig wat die bestemming insluit. Kontroleer al drie teen dieselfde toetsversoek, en die verskil noem homself.