محددات حركة IPsec: ما تغطيه وما لا تغطيه

تسمّي محددات الحركة الحركة الداخلية التي يحميها اتفاق IPsec، ويُتفاوض على الزوج بدل افتراضه. يمكن لنقطتي نهاية أن تصادق كل منهما على الأخرى تمامًا ومع ذلك تختلفان حول الحزم التي تنتمي إلى داخل النفق. هذا الاختلاف غير مرئي في حالة الاتصال، التي تبلغ عادةً عن نفق سليم. وقراءة المحددات من الطرفين ثم تتبّع وجهة واحدة تكشفه أسرع من أي قدر من تحرير السياسة.

اقرأها من الطرفين

تصف كل نقطة نهاية جانبها بأنه محلي والجانب الآخر بأنه بعيد. لذلك يظهر الزوج نفسه من البادئات مقلوبًا في التكوينين، وهذا صحيح لا متناقض. وقلب المنظور هو أول ما يجب فعله عندما يبدو اتفاق عامل خاطئًا على الورق. ومقارنة ملفين جنبًا إلى جنب دون قلبهما تُنتج تعارضًا غير موجود.

ليست القيم دائمًا شبكات فرعية مفردة. يمكن لمحددات IKEv2 أن تحمل نطاقات عناوين وأرقام بروتوكولات ونطاقات منافذ، وهكذا تحمي سياسة خدمة واحدة بدل شبكة كاملة. والمحدد الأضيق من الحركة المقصودة ينتج نفقًا يحمل بعض الوجهات ويستبعد أخرى بصمت.

اكتب الجانبين في جدول واحد قبل تغيير أي شيء. وعادةً ما يحسم هذا التمرين المسألة دون لمس ملف تكوين.

التضييق قرار المستجيب

يقدّم البادئ اقتراحًا، وقد يقبل المستجيب مجموعة فرعية فقط. يسمح IKEv2 للمستجيب بتضييق محددات الحركة المعروضة، والنتيجة المضيَّقة هي ما يُثبَّت فعليًا. لذا فإن قراءة تكوين البادئ تصف عرضًا لا الاتفاق.

لهذا قد تنتج شبكة فرعية مضافة إلى العميل نفقًا عاملًا يرفض مع ذلك الوجهة الجديدة. فقد ضيّق الخادم العرض إلى ما تسمح به سياسته، بينما لا يزال ملف العميل يسرد النطاق الأوسع. ولا تُظهر الحالة المُتفاوض عليها الحقيقة إلا وحدها: على Linux، يبلغ ip xfrm policy وسرد ارتباط child SA في توثيق IKEv2 الخاص بـ strongSwan عمّا ثُبِّت لا عمّا طُلب. وعندما يختلف الاثنان، فسياسة المستجيب هي التي يجب تغييرها.

الاقتراح المرفوض عرض مختلف عن المضيَّق. فالرفض يظهر في سجل التفاوض ولا يترك أي ارتباط child على الإطلاق.

تتبّع وجهة واحدة من البداية إلى النهاية

اختر وجهة حقيقية مع عنوان المصدر الذي سيستخدمه العميل من أجلها، ثم تتبّع هذا الزوج عبر ثلاثة قرارات مستقلة. المسار يختار طريقًا، و المحدد يقرر ما إذا كان ذلك الطريق محميًا، والجدار الناري يقرر ما إذا كانت الحزمة مسموحة. وكل منها يمكن أن يفشل بمفرده، والمحدد الواسع لا يصلح أيًا من الآخرين.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

يسمّي استعلام المسار الواجهة وعنوان المصدر اللذين سيحملان الحزمة. وتعرض قائمة السياسات ما إذا كانت هناك سياسة نفق مطابقة لذلك الزوج، بما في ذلك اتجاهها ومستواها. وتعرض قائمة SA محددات child المتفاوض عليها مع العدادات، فارتباط child بصفر حزم بعد محاولة إرسال حركة هو بصمة محددات تستبعد ما يُرسل. ثلاثة أوامر، ثلاثة أجوبة مختلفة، وواحد منها فقط يفسر إسقاطًا صامتًا.

إذا تحركت عدادات child بينما لا يزال التطبيق يفشل، فالمشكلة وراء النفق. وهذا ينقل التحقيق إلى مستمع المضيف البعيد أو جداره الناري بدل المحددات.

أبقِ الهدفين منفصلين

حماية شبكة فرعية مكتبية وإرسال كل التصفح عبر مخرج بعيد متطلبان مختلفان بمحددات مختلفة. والملف الشخصي المبني لأحدهما قلّما يناسب الآخر، وخلطهما ينتج إما تسريبًا أو انقسامًا معطلًا. وتوسيع النطاق المحمي يعني تغيير نقطتي النهاية وسياسة إعادة التوجيه لديهما، لأن التغيير من جانب واحد يصبح اقتراحًا مرفوضًا. وهذه أكثر طريقة شائعة يتوقف بها نفق عامل عن العمل بعد تعديل صغير.

تصف المحددات التغطية التشفيرية، والمسارات تختار الطرق، والتطبيقات تفرض تصاريحها الخاصة. والنفق الذي يغطي كل شيء لا يزال لا يستطيع الوصول إلى خدمة مرتبطة بالـ loopback، والمسار إلى النفق لا يزال يحتاج إلى محدد يشمل الوجهة. افحص الثلاثة مقابل الطلب الاختباري نفسه، وسيسمّي التعارض نفسه.