IPsec təhlükəsizlik siyasəti niyə marşrut cədvəlinin sətri deyil

Tuneldən 10.20.0.5 ünvanına ping göndərin və heç nə qayıtmır, halbuki marşrut cədvəli həmin alt şəbəkənin əlçatan olduğunu israr edir. Marşrutlaşdırma və IPsec fərqli suallara cavab verir və yalnız biri əlçatanlıqdan bəhs edir. İrəli axtarış bir yol seçir, sonra təhlükəsizlik siyasəti verilənlər bazası həmin yolun qorunmalı, toxunulmaz qalmalı yoxsa rədd edilməli olduğunu qərarlaşdırır. İkisi ziddiyyət təşkil etdikdə paket səssizcə ölür, ona görə onları bu ardıcıllıqla oxuyun.

Cədvəllə deyil, axtarışla başlayın

Özəkdən həqiqətən nə edəcəyini soruşun: ip route get 10.20.0.5 seçilmiş marşrutu, çıxış interfeysini və istifadə edəcəyi mənbə ünvanını çap edir. Prefiks, siyasət qaydası, işarə və ya üstünlük verilən mənbə bu cavabı dəyişə bilər, buna görə canlı axtarış cədvəli gözlə oxumaqdan üstündür.

Qorunan aralığın içindəki təyinatı sınayın, şlüz ünvanını yox. Uzaq tərəfin şlüzünə çatmaq yalnız hansısa marşrutun mövcud olduğunu sübut edir; əslində ehtiyacınız olan alt şəbəkə haqqında heç nə demir. Sonra axtarışın seçdiyi interfeysin tunelin istifadə etməsini gözlədiyiniz interfeys olduğunu təsdiqləyin.

Seçiciləri hər iki tərəfdə uyğunlaşdırın

Siyasət verilənlər bazası öz qeydlərini saxlayır və hər biri istiqamət, mənbə, təyinat və protokol adlandırır, sonra uyğun paketlərə nə olacağını bildirir. Onları ip xfrm policy ilə sadalayın; bayraqlar əməliyyatın qoruma, yan keçmə yoxsa bloklama olduğunu göstərir. Seçiciləri test axınınızdan geniş və ya dar olan siyasət ona uyğun gəlməyəcək və paket qorunmadan çıxacaq. Axtardığınız uğursuzluq budur, itkin marşrut deyil.

Faktiki dəyərləri müqayisə edin: mənbə, təyinat, protokol və portlar. Əgər axtarış bir ünvan cütünü həll edibsə, siyasət qeydi isə başqa birini əhatə edirsə, iki görünüş fərqli trafiki təsvir edir. Nəticə çıxarmazdan əvvəl hər ikisini eyni dəstlə yenidən işə salın, əks halda heç vaxt yolda olmayan siyasəti redaktə edəcəksiniz.

Siyasət uyğunluğu quraşdırılmış vəziyyət deyil

Uyğun siyasət yalnız paketin qorunmalı olduğunu deyir; qorumanı yerinə yetirmək üçün özəyə hələ də təhlükəsizlik assosiasiyası lazımdır. Onları ip xfrm state ilə, danışıqları strongSwan aparırsa swanctl --list-sas ilə sadalayın və hər qeydin seçicilərini və sayğaclarını oxuyun.

Siyasət uyğun gəldikdə və heç bir assosiasiya həmin seçiciləri əhatə etmədikdə, paket açıq mətnlə göndərilmək əvəzinə atılır. Tunel işləyərkən tək bir alt şəbəkənin sıradan çıxdığı halda axtarmalı olduğunuz atma budur. Sayğaclar qalanını deyir: heç vaxt artmayan assosiasiya heç vaxt seçilməyib, artıb yenə də atma ilə bitən assosiasiya isə uzaq tərəfi göstərir. Seçiciləri düzəltmək və açarları yeniləmək fərqli təmir işləridir, ona görə konfiqurasiyaya toxunmazdan əvvəl hansına ehtiyacınız olduğunu qərarlaşdırın.

Marşruta əsaslanan tunelin hələ də tələb etdiyi şeylər

XFRM interfeysi tuneli içinə marşrut qura biləcəyiniz cihaz kimi göstərir, bu həqiqətən faydalıdır. Lakin paket ora çatdıqdan sonra nə olacağını həll edən siyasəti və vəziyyəti aradan qaldırmır. Marşrut yalnız növbəti hop verir, başqa heç nə.

Cihaz varsa və marşrut ona yönəlirsə, amma heç bir assosiasiya daxili seçicilərə uyğun gəlmirsə, paket atılır və nə qədər marşrut redaktə etsəniz də açarlar və ya seçicilər yaranmır. İnterfeysi marşrutlaşdırdığınız eyni mənbə və təyinatla yoxlayın, sonra bunu vəziyyət siyahısı ilə müqayisə edin.

Nəyisə redaktə etməzdən əvvəl sahibliyi müəyyənləşdirin

Host firewall hər iki verilənlər bazasının bilmədiyi üçüncü qərarı əlavə edir. Düzgün marşrut üstəgəl uyğun siyasət üstəgəl quraşdırılmış assosiasiya yenə də atılmış paketlə bitə bilər və tətbiq yalnız vaxt aşımını bildirir. IPsec-i günahlandırmazdan əvvəl firewall-un qorunan trafikə icazə verdiyini təsdiqləyin. Tunel cihazında və fiziki interfeysdə tutma şifrələmənin hansı tərəfində paketin yox olduğunu göstərir.

Konfiqurasiya sahibliyi düzəlişinizin yenidən başlatmadan sonra qalıb-qalmayacağını həll edir. Bir komponent vəziyyət quraşdıra bilər, digəri isə marşrutları idarə edir və ikinciyə əl ilə edilən düzəliş tunel növbəti dəfə qalxdıqda üzərinə yazılır. Sahib konfiqurasiyanı dəyişin, sonra hər iki görünüşü yenidən oxuyun; RFC 4301 bölünməni başqasına izah etməli olduqda iki verilənlər bazasını ayrı saxlayır.