XFRM-verstekroete het IKE en ESP ingesluk: hou die buitenste pad

Verkeer word beskerm, die tonnel is op, en dan sterf dit by die volgende hernuwing van sleutels. 'n Verstekroete deur die XFRM-koppelvlak het die verkeer beskryf wat jy wou beskerm. Dit het ook die pakkette ingesluk wat nodig is om dit te bly beskerm.

Die twee betrokke bestemmings is nie uitruilbaar nie. Die roetebepaling moet dit eksplisiet sê.

Waar die eweknie-opsoeking werklik beland

Teken die aktiewe reëls op, die tabel wat die XFRM-roete hou en die publieke eweknie-adres. Kyk dan na die pad wat die buitenste verbinding met sy werklike bron en merk sou neem. 'n Algemene bestemming sê niks oor daardie beheerpad nie. Net die werklike bron en merk gee 'n nuttige antwoord.

'n Suksesvolle aanvanklike verbinding bewys ook min. Die fout verskyn dikwels nadat 'n roete-installasie die antwoord verander. Die opstart slaag, dan slaag die eerste hernuwing nie.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

As die opsoeking vir die eweknie in die XFRM-koppelvlak oplos, word die buitenste pakkette in die tonnel ingelei wat hulle bou. Dit is die lus, sigbaar in een opdrag.

Uitsluitingsopsies op 'n moderne poort

strongSwan se dokumentasie oor roetebeheerde VPN's sit twee praktiese antwoorde uiteen. Een merk IKE en ESP sodat die reël wat na die XFRM-tabel wys, nie op hulle pas nie. Die ander laat 'n eweknie-roete of uitsluiting wat die opsoeking nog kan bereik.

Neem die een wat jou reëlversameling sonder newe-effekte kan uitdruk. 'n Merk is skoon wanneer die res van die stokel al merke gebruik. Dit is 'n gevaar wanneer dieselfde masker iets anders in 'n ander reël beteken. Albei pakkettipes het in elk geval die behandeling nodig.

Om net IKE te merk, laat die datapakkette op die vasgevangde pad. Dit lewer 'n tonnel wat 'n handdruk doen en dan niks dra nie.

Die merk is een bis in die pakket se fwmark wat niks anders op die poort opeis nie: 0x1 met masker 0x1 is die gewone keuse, en dit moet op twee plekke gestel word sodat die uitsluiting werk. Charon het dit op die IKE-sok nodig, en die kindverbinding se inkomende en uitgaande merkinstellings het dieselfde waarde nodig sodat ingekapsuleerde pakkette ook gemerk vertrek. 'n Masker van 0x1 eerder as 0xffffffff laat die oorblywende bisse vry, wat saak maak wanneer 'n ander substelsel al pakkette op dieselfde gasheer merk. Met albei gestel, word die reël as 'n uitsluiting geskryf, sodat gemerkte pakkette die tabel wat die XFRM-roete hou, oorslaan en na die hooftabel deurval:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Lees dan die antwoord met die merk toegepas. Sonder dit ondersoek jy die pad wat beskermde verkeer neem, wat die teenoorgestelde is van die vraag wat hierdie afdeling vra.

Wat outomatiese installasie oor die bou aanvaar

Outomatiese roete-installasie vir 'n XFRM-koppelvlak hang af van die strongSwan-weergawe en sy konfigurasie. Die koppelvlak-ID, die geïnstalleerde beleid en die assosiasie moet almal na die bedoelde objekte verwys. 'n Wanpassing wys as 'n roete wat stil na iets werkliks wys.

Om 'n tabelnommer of 'n merkmasker van 'n ander poort te kopieer, is hoe botsings begin. Kyk eers wat dit al gebruik. 'n Botsing raak verkeer ver verby die tonnel wat jy wou verander, en die simptoom wys selde na die kopie.

Eweknie-adresveranderings hoort in die ontwerp. 'n Gasheerroete vir gister se adres is nie 'n herstelplan vir die eindpunt nie, terwyl 'n merk daardie verandering oorleef.

Hou die eerste hernuwing dop

Kyk na die buitenste pad nadat die beskermde roetes geïnstalleer is, nie voor dit nie. Hou dan die volgende hernuwing en een toepassingsuitruiling dop. Die fout verskyn gewoonlik by daardie oorgang eerder as by die opstart.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Om die beskermde verstek tydelik te verwyder, herstel gewoonlik die verbinding. Daardie resultaat is diagnosties, nie finaal nie.

Die doel is 'n stabiele splitsing tussen binneste verkeer en die buitenste pakkette wat dit dra. Skryf die gekose meganisme en sy tabel of merk in die poort se notas. Die volgende persoon wat aan die reëls raak, sal andersins die lus weer invoer.