المسار الافتراضي في XFRM ابتلع IKE وESP: احتفظ بالمسار الخارجي

الحركة محمية، والنفق قائم، ثم ينقطع عند التجديد التالي للمفاتيح. المسار الافتراضي عبر واجهة XFRM وصف الحركة التي أردت حمايتها. وقد ابتلع أيضًا الحزم اللازمة لمواصلة حمايتها.

الوجهتان المعنيتان ليستا قابلتين للتبادل. وعلى التوجيه أن يقول ذلك صراحة.

إلى أين يذهب بحث النظير فعليًا

سجِّل القواعد النشطة، والجدول الذي يحمل مسار XFRM، وعنوان النظير العام. ثم انظر إلى المسار الذي سيسلكه الاتصال الخارجي بمصدره وعلامته الحقيقيين. الوجهة العامة لا تخبرك شيئًا عن مسار التحكم ذلك. المصدر والعلامة الفعليان وحدهما يعطيان إجابة مفيدة.

الاتصال الأولي الناجح لا يثبت الكثير أيضًا. غالبًا ما يظهر الفشل بعد أن يغيّر تثبيت مسار الإجابة. ينجح بدء التشغيل، ثم لا ينجح التجديد الأول.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

إذا انتهى بحث النظير إلى واجهة XFRM، فإن الحزم الخارجية تُوجَّه إلى النفق الذي تبنيه. تلك هي الحلقة، ظاهرة في أمر واحد.

خيارات الاستبعاد على بوابة حديثة

تطرح وثائق strongSwan للشبكات الافتراضية القائمة على التوجيه إجابتين عمليتين. إحداهما تعلِّم IKE وESP حتى لا تطابقهما القاعدة التي تشير إلى جدول XFRM. والأخرى تترك مسار نظير أو استبعادًا يستطيع البحث الوصول إليه.

اختر ما تستطيع مجموعة قواعدك التعبير عنه دون آثار جانبية. العلامة تكون نظيفة عندما يستخدم بقية المكدس علامات بالفعل. وتكون خطرًا عندما يعني القناع نفسه شيئًا آخر في قاعدة أخرى. ونوعا الحزم يحتاجان المعالجة في كلتا الحالتين.

تعليم IKE وحده يترك حزم البيانات على المسار الملتقَط. وهذا ينتج نفقًا يصافح ثم لا يحمل شيئًا.

العلامة بت واحد في fwmark الحزمة لا يطالب به شيء آخر على البوابة: 0x1 بالقناع 0x1 هو الخيار المعتاد، ويجب ضبطه في موضعين حتى يعمل الاستبعاد. يحتاجه Charon على مقبس IKE، وتحتاج إعدادات العلامة الواردة والصادرة للاتصال الفرعي القيمة نفسها حتى تخرج الحزم المغلفة معلَّمة أيضًا. القناع 0x1 بدلًا من 0xffffffff يترك البتات المتبقية حرة، وهذا يهم عندما يقوم نظام فرعي آخر بتعليم الحزم على المضيف نفسه. وعند ضبط الاثنين، تُكتب القاعدة كاستبعاد، فتتخطى الحزم المعلَّمة الجدول الذي يحمل مسار XFRM وتنتقل إلى الجدول الرئيسي:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

ثم اقرأ الإجابة بعد تطبيق العلامة. بدونها تفحص المسار الذي تسلكه الحركة المحمية، وهذا عكس السؤال الذي يطرحه هذا القسم.

ماذا يفترض التثبيت التلقائي بشأن البناء

التثبيت التلقائي للمسار في واجهة XFRM يعتمد على نسخة strongSwan وإعدادها. معرّف الواجهة والسياسة المثبَّتة والاقتران يجب أن تشير جميعها إلى الكائنات المقصودة. عدم التطابق يظهر كمسار يشير بهدوء إلى مكان حقيقي.

نسخ رقم جدول أو قناع علامة من بوابة أخرى هو بداية التصادمات. تحقق أولًا مما يستخدمه بالفعل. التصادم يؤثر في حركة تتجاوز بكثير النفق الذي أردت تغييره، ونادرًا ما تشير الأعراض إلى النسخ.

تغييرات عنوان النظير جزء من التصميم. مسار مضيف لعنوان الأمس ليس خطة لاستعادة نقطة النهاية، بينما تصمد العلامة أمام ذلك التغيير.

راقب التجديد الأول

افحص المسار الخارجي بعد تثبيت المسارات المحمية، لا قبله. ثم راقب التجديد التالي وتبادلًا واحدًا للتطبيق. عادة ما يظهر الفشل عند ذلك الانتقال لا عند بدء التشغيل.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

إزالة المسار الافتراضي المحمي مؤقتًا تعيد الاتصال عادةً. تلك النتيجة تشخيصية وليست نهائية.

الهدف فصل مستقر بين الحركة الداخلية والحزم الخارجية التي تحملها. اكتب الآلية المختارة وجدولها أو علامتها في ملاحظات البوابة. وإلا فإن الشخص التالي الذي يلمس القواعد سيعيد الحلقة.