سياسة IPsec تبتلع حركة المرور المحلية لديك: كيف تكتشف ذلك

تتوقف الطابعة الموجودة على المكتب عن الاستجابة في اللحظة التي يرتفع فيها النفق، ولا يذكر أي شيء في إعداد النفق الطابعة. ما حدث عادةً هو أن نطاقًا محميًا كُتب واسعًا بما يكفي ليشملها، لذا تحاول الآلة الآن تشفير حركة كان يُفترض أن تبقى على القطاع المحلي. قراءة السياسة المثبتة تفسر الاعتراض؛ تضييقها في المكان الصحيح يبقي الحركة البعيدة محمية. تستغرق الرحلة من الطلب الفاشل إلى السياسة المطابقة بضع دقائق.

تتبّع المسار قبل تغيير المحدد

ابدأ من الطلب الفاشل واكتب أربع قيم: عنوان المصدر الذي تستخدمه الآلة، والوجهة الدقيقة، والمسار الذي تختاره النواة، والسياسة التي تطابق هذا الزوج.

تقرر هذه الحقائق الأربع ما إذا كان الاعتراض متعمدًا أم عارضًا. الوجهة التي تقع داخل المحدد البعيد محمية بحكم التصميم، حتى لو كان التصميم خاطئًا. أما الوجهة الواقعة خارجه والتي تُعترض رغم ذلك فتعني أن شيئًا آخر يطابق، وتغيير المحدد لن يساعد. الحالتان شائعتان، ويُميّز بينهما أمر واحد.

افعل ذلك قبل تحرير أي شيء، لأن الحالة المثيرة للاهتمام هي الشبكة الفرعية المحلية التي تتقاطع مع نطاق خاص يحميه الاتصال. تظهر البادئات المألوفة مثل 192.168.0.0/16 في شبكات كثيرة، وقد يغطي مُحدِّد مكتوب لأحدها شبكتك بصمت.

ثلاثة أنواع من المحلي تتصرف بشكل مختلف

الوجهة المخصصة لهذا المضيف، والوجهة على الرابط نفسه، والوجهة خلف واجهة أخرى هي ثلاث حالات مختلفة. تتعامل النواة مع كل واحدة منها بشكل مختلف عندما تقرر ما إذا كانت الحركة تحتاج إلى حماية.

الحركة التي يولّدها البوابة نفسه ليست هي نفسها الحركة المُمرَّرة من عميل. قد تعترض سياسة تبدو صحيحة للحركة المُمرَّرة جلسة إدارة البوابة نفسه، وهكذا يفقد المسؤول الوصول أثناء إصلاحه النفق.

العادة المفيدة هي تسمية الحالة بصوت عالٍ: هل تأتي هذه الحزمة مني، أم تتجه إلى رابطي، أم تمر عبرّي؟ كل جواب يشير إلى مكان مختلف للتضييق. كما أن كتابة الحالة تمنع الشخص التالي من تكرار العمل نفسه.

عندما يكون النطاق المحمي مساحة خاصة كاملة، يمكن أن تقع الحالات الثلاث فيه في آن واحد، وتصبح الأعراض آلة لا تصل إلى أي شيء إلا نقطة نهاية النفق.

اقرأ السياسة المثبتة، لا الملف

تصف ملفات الإعداد النية؛ وتحتفظ النواة بالسياسات التي تطابق فعليًا. اعرض كليهما واعتبر عدم التطابق أول اكتشاف.

تعرض هذه الأوامر المسار المختار للوجهة والسياسات المثبتة في كل اتجاه:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

يخبرك المسار بالواجهة التي ستستخدمها الحزمة. تخبرك قائمة السياسات بما إذا كان سيُطبَّق قالب بعد ذلك على تلك الحزمة، وتعرض قائمة الاتصالات المحددات التي يعتقد الخادم أنه ثبّتها. إن ظهرت الوجهة في محدد بعيد، فقد وجدت الاعتراض دون تخمين.

ضيّق المحدد أو تجاوز الوجهة

هناك إصلاحان مدعومان ويجيبان عن سؤالين مختلفين. تضييق المحدد يعني أن هذا الاتصال يحمي نطاقًا أصغر فقط، وهذا صحيح عندما كان النطاق الأوسع خطأً. وإضافة تجاوز تعني أن هذه الوجهة المحددة يجب ألا تُحمى أبدًا، وهذا صحيح عندما يكون النطاق المحمي واسعًا فعلًا ووجهة واحدة استثناء.

اختر الأول عندما تستطيع، لأن المحدد الأصغر أسهل في التفكير ويظهر في تعريف الاتصال. اختر الثاني عندما يكون النطاق الواسع مقصودًا والاستثناء مضيفًا واحدًا أو شبكة فرعية يمكنك تسميتها.

كلاهما ينتمي إلى الإعداد الذي يملك الاتصال. قاعدة وقت التشغيل المضافة يدويًا تختفي عند إعادة الاتصال التالية، ويعود العطل في لحظة لا يتذكر فيها أحد الحل المؤقت.

استثناءات آمنة عند إعادة التثبيت

بعد التغيير، كرّر الطلب غير الضار نفسه وانظر إلى العدادات نفسها. يجب أن تجيب الوجهة المحلية، ويجب أن تظل الوجهة البعيدة المقصودة تظهر حركة مشفرة.

يؤكد هذان الفحصان أن الاستثناء نجا والحماية لم تنجُ:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

ثم افصل النفق وأعد توصيله عمدًا، وكرّر كليهما. الاستثناء الذي يعمل قبل إعادة الاتصال ويفشل بعدها طُبّق على الطبقة الخاطئة، وهذه هي الطريقة الأكثر شيوعًا لعودة هذه المشكلة.