Bir neçə alt şəbəkəli IPsec dönüş trafikini itirir? reqid-ləri sayın

Trafik bir sahədən çıxır və heç vaxt geri qayıtmır, hər iki şlüz tamamlanmış danışıq bildirir və yeganə ipucu cavabsız gedən paketlər yığınıdır. Linux son nöqtəsində adi səbəb şifrələmə gücü, MTU və ya marşrutlaşdırma cədvəli deyil. Bu, siyasət qeydlərinin dənəliliyi və hər siyasəti təhlükəsizlik assosiasiyasına bağlayan nömrədir. Aşağıdakı prosedur başqa heç nəyə toxunmadan əvvəl bu iki bazanı oxuyur.

Nəyisə dəyişməzdən əvvəl simptomu ayırın

Tamamlanmış IKE danışığı ilə birtərəfli nasazlıq problemi məlumat yoluna endirir. Ya gedən siyasət uyğun gəldi və cavab atıldı, ya da cavab heç vaxt gəlmədi, çünki qarşı tərəfin onu göndərəcək heç nəyi yox idi. Tətbiq baxımından iki hal eyni görünür və xfrm bazaları onları fərqləndirir.

MTU ilə başlamayın. Səhv MTU donmalar və fraqmentasiya simptomları yaradır, artan gedən sayğaclarla təmiz istiqamət ayrımı deyil.

Siyasət bazasını və vəziyyət bazasını oxuyun

Linux-da şifrələməni siyasət qeydləri həll edir, buna görə uyğun siyasət, marşrut deyil, paketi tunelə salır. Hər qeydin seçicilərini, istiqamətini, prioritetini və şablonunu görmək üçün ip xfrm policy, qurulmuş assosiasiyaları reqid-ləri ilə görmək üçün ip xfrm state işə salın. Siyasət və assosiasiya bu reqid ilə birləşdirilir.

Üç istiqamətin hamısına baxın. Gedən və gələn bu hosta və buradan trafiki əhatə edir; yönləndirmə istiqaməti host başqaları üçün marşrutlaşdırdıqda vacibdir. Bir istiqamətdə çatışmayan və ya uyğun gəlməyən qeyd heç bir kriptoqrafik nasazlıq olmadan birtərəfli nəticəni izah edir.

Klassik asimmetriya: bir neçə alt şəbəkə üçün bir reqid

Ümumi nasazlıq bütün razılaşdırılmış alt şəbəkələrin siyasətlərini tək bir reqid altında quran qarşı tərəfdən gəlir, bu racoon-un generate_policy require parametrində olur. Trafik sonra ən son qurulan assosiasiyadan çıxır, qarşı tərəf isə hər alt şəbəkə üçün ayrı assosiasiya saxlayır. Cavablar reqid-i onları qəbul etməli olan siyasəti göstərməyən assosiasiyaya gəlir və nüvə onları deşifrədən sonra atır.

Düzəliş konfiqurasiya dəyişikliyidir, firewall qaydası deyil: generate_policy unique; hər siyasətə öz reqid-ini verir, beləliklə qarşı tərəfin siyasət üzrə assosiasiyalarının uyğun tərəfdaşları olur. Bunu tətbiq edin, yenidən danışıq aparın və uğur elan etməzdən əvvəl gözlədiyiniz alt şəbəkələr üçün fərqli reqid-ləri sayın.

İki alt şəbəkə hələ də bir reqid paylaşırsa, qarşı tərəf isə iki gözləyirsə, asimmetriyanı tapdınız. Uyğunluğu qeyd edin, çünki bu, növbəti dəyişikliyin onu düzəltdiyinin və ya saxladığının sübutudur.

Seçicilər konfiqurasiyanızdan deyil, danışıqdan gəlir

Qorunan aralıqlar bir tərəfin istədiyi deyil, hər iki ucun razılaşdığı aralıqlardır. Geniş uzaq aralığa qarşı host cütü təklif edən müştəri şlüzün daraldılmış versiyasını alır və müştəri onu genişləndirə bilməz. Yerli faylınızdakı seçicilər yerinə quraşdırılmış seçiciləri oxuyun.

Məqsəd əksinə olduqda, yəni bir təyinatı tuneldən kənarda saxlamaq lazım olduqda, avtomatik quraşdırılmış qeydi üstələməsi üçün daha aşağı prioritet nömrəli yan keçmə siyasəti əlavə edin. Şablonsuz siyasət açıq mətnə icazə verir, bu da onu sazlama addımı deyil, dəyişiklik qeydi üçün qəsdən edilmiş istisna edir.

Bu sıra ilə yoxlayın və necə geri qayıdacağınızı bilin

Hər alt şəbəkə üçün siyasətləri iki istiqamətdə sadalayın, host marşrutlaşdırırsa yönləndirmə istiqaməti də daxil olmaqla. Fərqli reqid-ləri sayın və gözləyən tərəfdə hər siyasət üçün birinin olduğunu təsdiqləyin. Quraşdırılmış seçiciləri razılaşdırılmış olanlarla müqayisə edin. Açar yenilənməsindən sonra assosiasiya üzrə sayğacları yenidən oxuyun, çünki yoxladığınız assosiasiya artıq getmiş ola bilər. Marşrutları ən sonda yoxlayın, çünki uzaq alt şəbəkəyə çatmayan marşrut təmiz siyasət sayğacları ilə oxşar birtərəfli simptom yaradır.

Qarşı tərəfi dəyişməzdən əvvəl iki xfrm əmrinin cari çıxışını yadda saxlayın. Yeni parametr dönüş istiqamətini bərpa etmirsə, həmin çıxışı bərpa etmək tuneli yaddaşdan yenidən qurmaqdan daha sürətli geri qayıtmaqdır və müqayisəni dürüst saxlayır.