IPsec siyasəti yerli trafikinizi udur: necə tanımaq olar

Masadakı printer tunel qalxan kimi cavab verməyi dayandırır və tunel konfiqurasiyasında printerdən heç nə bəhs etmir. Adətən belə olub ki, qorunan diapazon onu əhatə edəcək qədər geniş yazılıb, buna görə maşın indi yerli seqmentdə qalmalı olan trafiki şifrələməyə çalışır. Quraşdırılmış siyasəti oxumaq tutmağı izah edir; onu düzgün yerdə daraltmaq uzaq trafiki qorunan saxlayır. Uğursuz sorğudan uyğun siyasətə qədər yol bir neçə dəqiqə çəkir.

Seçicini dəyişməzdən əvvəl axını izləyin

Uğursuz sorğudan başlayın və dörd dəyər yazın: maşının istifadə etdiyi mənbə ünvanı, dəqiq təyinat, nüvənin seçdiyi marşrut və bu cütə uyğun gələn siyasət.

Bu dörd fakt tutmanın qəsdən və ya təsadüfi olduğunu müəyyən edir. Uzaq seçicinin içərisinə düşən təyinat dizayna görə qorunur, dizayn səhv olsa belə. Onun xaricində olub yenə də tutulan təyinat başqa bir şeyin uyğun gəldiyini bildirir və seçicini dəyişmək kömək etməyəcək. Hər iki hal geniş yayılıb və onları bir əmr fərqləndirir.

Bunu hər hansı bir şeyi redaktə etməzdən əvvəl edin, çünki maraqlı hal əlaqənin qoruduğu şəxsi diapazonla üst-üstə düşən yerli alt şəbəkədir. 192.168.0.0/16 kimi tanış prefikslər bir çox şəbəkədə görünür və onlardan biri üçün yazılmış seçici sizin şəbəkənizi səssizcə əhatə edə bilər.

Fərqli davranan üç yerli növ

Bu hosta təyin edilmiş təyinat, eyni keçiddəki təyinat və başqa interfeysin arxasındakı təyinat üç fərqli haldır. Nüvə trafikin qorunmaya ehtiyacı olub-olmadığını qərara alarkən hər birini fərqli şəkildə idarə edir.

Şlüzun özünün yaratdığı trafik də müştəridən ötürülən trafiklə eyni deyil. Ötürülən trafik üçün düzgün görünən siyasət şlüzun öz idarəetmə sessiyasını tuta bilər və inzibatçı tuneli təmir edərkən girişi belə itirir.

Faydalı vərdiş həddi yüksək səslə adlandırmaqdır: bu paket məndən gəlir, keçidimə gedir, yoxsa məndən keçir? Hər cavab daraltmaq üçün fərqli yerə işarə edir. Haldı yazmaq da növbəti insanın eyni işi təkrarlamasının qarşısını alır.

Qorunan diapazon bütöv bir şəxsi məkandırsa, üç hal eyni anda onun içərisinə düşə bilər və simptom tunel son nöqtəsindən başqa heç yerə çatmayan bir maşın olur.

Quraşdırılmış siyasəti oxuyun, faylı deyil

Konfiqurasiya faylları niyyəti təsvir edir; nüvə həqiqətən uyğun gələn siyasətləri saxlayır. İkisini də göstərin və uyğunsuzluğu ilk tapıntı kimi qəbul edin.

Bu əmrlər təyinat üçün seçilmiş marşrutu və hər istiqamətdə quraşdırılmış siyasətləri göstərir:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Marşrut paketin hansı interfeysi istifadə edəcəyini deyir. Siyasət siyahısı bu paketə sonra şablon tətbiq edilib-edilməyəcəyini deyir, əlaqələr siyahısı isə daemonun hansı seçiciləri quraşdırdığını düşündüyünü göstərir. Təyinat uzaq seçicidə görünürsə, tutmağı təxmin etmədən tapmısınız.

Seçicini daraldın və ya təyinatı keçin

İki dəstəklənən təmir var və onlar fərqli suallara cavab verir. Seçicini daraltmaq bu əlaqənin yalnız daha kiçik diapazonu qoruduğunu bildirir; bu, geniş diapazon səhv idisə doğrudur. Kənarlaşma əlavə etmək bu konkret təyinatın heç vaxt qorunmamalı olduğunu bildirir; bu, qorunan diapazon həqiqətən genişdirsə və bir təyinat istisnadırsa doğrudur.

Mümkün olduqda birincisini seçin, çünki daha kiçik seçici haqqında düşünmək asandır və əlaqə tərifində görünür. Geniş diapazon qəsdəndirsə və istisna adını deyə biləcəyiniz tək bir host və ya alt şəbəkədirsə ikincisini seçin.

Hər ikisi əlaqəyə sahib olan konfiqurasiyaya aiddir. Əllə əlavə edilmiş icra vaxtı qaydası növbəti yenidən qoşulmada yox olur və nasazlıq heç kimin müvəqqəti həlli xatırlamadığı bir anda qayıdır.

Yenidən quraşdırmadan sağ çıxan istisnalar

Dəyişiklikdən sonra eyni zərərsiz sorğunu təkrarlayın və eyni sayğaclara baxın. Yerli təyinat cavab verməli, nəzərdə tutulan uzaq təyinat isə hələ də şifrələnmiş trafik göstərməlidir.

Bu iki yoxlama istisnanın sağ qaldığını, müdafiənin isə qalmadığını təsdiqləyir:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Sonra tuneli qəsdən ayırın və yenidən qoşun, hər ikisini təkrarlayın. Yenidən qoşulmadan əvvəl işləyib sonra uğursuz olan istisna yanlış qata tətbiq edilib və bu problemin qayıtmasının ən geniş yayılmış yolu budur.