IPsec trafik seçiciləri: nələri əhatə edir, nələri etmir

Trafik seçiciləri IPsec razılaşmasının qoruduğu daxili trafiki adlandırır və cüt razılaşdırılır, güman edilmir. İki son nöqtə bir-birini mükəmməl təsdiqləyə bilər və yenə də hansı paketlərin tunelin içində olduğuna dair fikir ayrılığına düşə bilər. Bu fikir ayrılığı adətən sağlam tunel bildirən bağlantı statusunda görünmür. Seçiciləri hər iki tərəfdən oxumaq və sonra bir təyinatı təqib etmək onu hər hansı siyasət redaktəsindən daha tez tapır.

Onları hər iki tərəfdən oxuyun

Hər son nöqtə öz tərəfini yerli, digər tərəfi isə uzaq kimi təsvir edir. Buna görə də eyni prefiks cütü iki konfiqurasiyada dəyişdirilmiş görünür və bu, ziddiyyət deyil, düzgündür. İşləyən razılaşma kağız üzərində səhv görünəndə ilk ediləcək şey baxış bucağını tərsinə çevirməkdir. İki faylı dəyişdirmədən yan-yana müqayisə etmək mövcud olmayan uyğunsuzluq yaradır.

Dəyərlər həmişə tək altşəbəkələr deyil. IKEv2 seçiciləri ünvan aralıqları, protokol nömrələri və port aralıqları daşıya bilər və siyasət bütöv şəbəkə yerinə bir xidməti belə qoruyur. Nəzərdə tutulan trafikdən dar seçici bəzi təyinatları daşıyan və digərlərini səssizcə istisna edən tunel yaradır.

Hər hansı dəyişiklik etməzdən əvvəl hər iki tərəfi bir cədvəldə yazın. Bu məşq adətən konfiqurasiya faylına toxunmadan məsələni həll edir.

Daraltmaq cavabdehin qərarıdır

Təşəbbüskar təklif edir, cavabdeh isə yalnız bir alt çoxluğu qəbul edə bilər. IKEv2 cavabdehə təklif olunan trafik seçicilərini daraltmağa icazə verir və faktiki quraşdırılan daraldılmış nəticədir. Beləliklə, təşəbbüs konfiqurasiyasının oxunması razılaşmanı deyil, təklifi təsvir edir.

Buna görə müştəriyə əlavə edilən altşəbəkə işləyən tunel yarada bilər, amma yeni təyinatı yenə də rədd edir. Server təklifi öz siyasətinin icazə verdiyi həddə daraltdı, müştərinin faylı isə hələ də daha geniş aralığı sadalayır. Yalnız razılaşdırılmış vəziyyət həqiqəti göstərir: Linux-da ip xfrm policy və strongSwan-ın IKEv2 sənədləşməsindəki child SA siyahısı tələb olunanı deyil, quraşdırılanı bildirir. İkisi ziddiyyət təşkil etdikdə dəyişdirilməli olan cavabdehin siyasətidir.

Rədd edilmiş təklif daraldılmışdan fərqli bir simptomdur. Rədd danışıq jurnalında görünür və heç bir child assosiasiyası buraxmır.

Bir təyinatı başdan axıra qədər izləyin

Müştərinin istifadə edəcəyi mənbə ünvanı ilə birlikdə real bir təyinat seçin, sonra bu cütü üç müstəqil qərar boyunca izləyin. Marşrut yol seçir, seçici həmin yolun qorunub-qorunmadığına qərar verir, firewall isə paketin icazəli olub-olmadığına qərar verir. Hər biri özlüyündə uğursuz ola bilər və geniş seçici digərlərinin heç birini düzəltmir.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Marşrut sorğusu paketi daşıyacaq interfeysi və mənbə ünvanını adlandırır. Siyasət siyahısı həmin cüt üçün uyğun tunel siyasətinin olub-olmadığını, o cümlədən istiqamətini və səviyyəsini göstərir. SA siyahısı razılaşdırılmış child seçicilərini sayğaclarla birlikdə göstərir, buna görə trafik cəhdindən sonra sıfır paketli child assosiasiyası göndərilənləri istisna edən seçicilərin əlamətidir. Üç əmr, üç fərqli cavab və yalnız biri səssiz düşməni izah edir.

Child sayğacları hərəkət edərkən tətbiq hələ də uğursuz olursa, problem tunelin arxasındadır. Bu, araşdırmanı seçicilərə deyil, uzaq hostun dinləyicisinə və ya firewall-una keçirir.

İki məqsədi ayrı saxlayın

Ofis altşəbəkəsini qorumaq və bütün gəzintini uzaq çıxışdan keçirmək fərqli seçicilərlə fərqli tələblərdir. Biri üçün qurulan profil digərinə nadir hallarda uyğun gəlir və onları qarışdırmaq ya sızma, ya da pozulmuş bölünmə yaradır. Qorunan aralığı genişləndirmək hər iki son nöqtəni və onların yönləndirmə siyasətini dəyişmək deməkdir, çünki birtərəfli dəyişiklik rədd edilmiş təklifə çevrilir. Kiçik bir redaktədən sonra işləyən tunelin işləməsini dayandırmasının ən geniş yayılmış yolu budur.

Seçicilər kriptoqrafik əhatəni təsvir edir, marşrutlar yolları seçir, tətbiqlər isə öz icazələrini tətbiq edir. Hər şeyi əhatə edən tunel yenə də loopback-ə bağlanmış xidmətə çata bilməz və tunelə gedən marşrut yenə də təyinatı əhatə edən seçici tələb edir. Üçünü də eyni test sorğusuna qarşı yoxlayın və uyğunsuzluq özünü adlandıracaq.