الوصول إلى عميل IKEv2 عند عنوانه الظاهري المخصص

تحتاج البوابة إلى بدء اتصال بحاسوب محمول متصل بها عبر IKEv2، باستخدام عنوانه الظاهري المخصص لذلك العميل. النفق قائم، والعميل يصل إلى كل ما خلف البوابة، لكن الاتجاه المعاكس ما زال يفشل. هذا التفاوت طبيعي: السياسة المتفاوض عليها تصف العناوين التي يجوز لها التحدث، لا الطرف الذي يجوز له البدء. ثلاثة أمور يجب أن تنتظم قبل أن ينجح طلب يبدأ من البوابة.

النفق لا يثبّت عنوان المصدر

تغطي جمعية أمان الطفل زوجًا من محدِّدات حركة المرور، واحد لكل جهة، وتسمح بالمرور في الاتجاهين داخل ذلك الزوج. وهي لا تقول شيئًا عن الطرف الذي فتح تبادل IKE أولًا. يمكن للبوابة التي كانت تستمع للنفق أصلًا أن ترسل أول حزمة تطبيق، بشرط أن يقع المصدر والوجهة المختاران داخل المحدِّدات المثبَّتة. وعندما يخرج الطلب من الواجهة الخطأ، فهو ببساطة غير مؤهل للنفق.

التوجيه نحو العميل ضروري وغير كافٍ. يجب أن تقبل السياسة المصدر الذي استخدمته فعليًا.

اقرأ السياسة المثبَّتة، لا ملف الإعداد

ابدأ من الرابطة النشطة ومحدِّداتها، لأن الإسناد الديناميكي يغيّر ما هو مثبَّت في النواة.

ipsec statusall
ip xfrm policy

يسمّي مخرج الحالة الاتصال والعنوان الظاهري المخصص والمحدِّدات السارية حاليًا لذلك الطرف. ويُظهر تفريغ السياسة المحدِّدات نفسها كحالة في النواة، وهي ما يستشيره اختيار الحزم فعلًا. قارن محدِّد جهة البوابة بالمصدر الذي سيستخدمه تطبيقك، لأن عدم التطابق يفسر الفشل فورًا. اقرأ عنوان العميل الحالي بدلًا من عنوان من جلسة سابقة، لأن إعادة إسناد VIP تُبطل السياسة القديمة.

يجب أن يستمع العميل حيث تصل الحزمة

حتى السياسة المثالية تصل إلى منفذ مغلق عندما ترتبط الخدمة بواجهة الاسترجاع فقط. يجب أن يكون المستمع على العنوان المخصص أو على عنوان محلي شامل.

ss -ltnp 'sport = :9090'
iptables -S INPUT

يُظهر سرد المقابس ما إذا كان المنفذ مرتبطًا بالعنوان الظاهري، وتُظهر قواعد جدار الحماية ما إذا كانت الاتصالات الجديدة تُقبل من المصدر المحمي. القاعدة المكتوبة للاتصالات القائمة لا تسمح باتصال تبدأه البوابة. أبقِ مصادقة الخدمة نفسها، لأن الوصول عبر النفق يثبت فقط الشبكة التي جاءت منها الحزمة. العميل خلف NAT الخاص به لا يحتاج بعد إلى إعادة توجيه منفذ واردة، لأن هذه الطلبات تسافر داخل النفق القائم.

اختبر الاتجاه الجديد بمفرده

الطلب الناجح من العميل إلى الخادم لا يجرّب هذا المسار أبدًا. أنشئ الطلب من البوابة وراقب الطرفين.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

يجيب بحث المسار عن المصدر والواجهة التي ستستخدمها البوابة، وهي القيمة التي يجب أن تقبلها السياسة. يجب أن يُظهر الالتقاط خروج الطلب داخل ESP لا كـ TCP عادي على الواجهة العامة. على العميل، التقط حركة المرور المفككة للتأكد من الوصول ومن ردّ الخدمة. إذا اختفى الطلب دون ESP على الشبكة، فاشتبه في عنوان المصدر قبل جدار حماية العميل.

أعد الاختبار بعد إعادة توليد المفتاح أو إعادة الاتصال، لأن VIP قد يتغير. المسار الذي يعمل فقط حتى الجلسة التالية ليس مسارًا عاملًا.