XFRM standart marşrutu IKE və ESP-ni uddu: xarici yolu saxlayın

Trafik qorunur, tunel işləyir, sonra növbəti açar yeniləməsində sönür. XFRM interfeysindən keçən standart marşrut qorumaq istədiyiniz trafiki təsvir edirdi. O, həm də onu qorumağa davam etmək üçün lazım olan paketləri uddu.

İştirak edən iki təyinat bir-birini əvəz etmir. Marşrutlaşdırma bunu açıq şəkildə deməlidir.

Qarşı tərəfin axtarışı əslində hara gedir

Aktiv qaydaları, XFRM marşrutunu saxlayan cədvəli və qarşı tərəfin açıq ünvanını qeyd edin. Sonra xarici bağlantının real mənbəyi və işarəsi ilə hansı yolu tutacağına baxın. Ümumi təyinat bu nəzarət yolu haqqında heç nə demir. Yalnız faktiki mənbə və işarə faydalı cavab verir.

Uğurlu ilkin bağlantı da az şey sübut edir. Uğursuzluq çox vaxt marşrut quraşdırması cavabı dəyişdikdən sonra üzə çıxır. Başlanğıc uğurla keçir, sonra ilk yeniləmə keçmir.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Əgər qarşı tərəf üçün axtarış XFRM interfeysinə düşürsə, xarici paketlər onların qurduğu tunelə yönləndirilir. Dövrə budur və bir əmrdə görünür.

Müasir şlüz üzərində istisna variantları

strongSwan-ın marşruta əsaslanan VPN sənədləri iki praktik cavab təqdim edir. Biri IKE və ESP-ni işarələyir ki, XFRM cədvəlinə yönələn qayda onlara uyğun gəlməsin. Digəri axtarışın hələ çata biləcəyi bir qarşı tərəf marşrutu və ya istisna saxlayır.

Qayda dəstinizin yan təsirsiz ifadə edə bildiyini seçin. İşarə təmizdir, o zaman ki, yığının qalanı artıq işarələrdən istifadə edir. Eyni maska başqa qaydada başqa məna daşıyırsa, bu təhlükədir. Hər iki paket növü hər halda emala ehtiyac duyur.

Yalnız IKE-ni işarələmək məlumat paketlərini tutulmuş yolda qoyur. Bu, əl sıxışması işləyib sonra heç nə daşımayan tunel yaradır.

İşarə paketin fwmarkında şlüzün başqa heç nə iddia etmədiyi bir bitdir: 0x1, maska 0x1 ilə adi seçimdir və istisnanın işləməsi üçün iki yerdə qoyulmalıdır. Charon onu IKE soketində istəyir, uşaq bağlantının gələn və gedən işarə parametrləri də eyni dəyəri istəyir ki, inkapsullaşdırılmış paketlər də işarəli çıxsın. Maska 0xffffffff yerinə 0x1 qalan bitləri sərbəst buraxır, bu da başqa alt sistem eyni hostda artıq paketləri işarələdikdə vacibdir. İkisi də qoyulduqda qayda istisna kimi yazılır, beləliklə işarəli paketlər XFRM marşrutunu saxlayan cədvəli atlayıb əsas cədvələ düşür:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Sonra cavabı işarə tətbiq olunmuş halda oxuyun. Onsuz qorunan trafikin getdiyi yolu yoxlayırsınız, bu isə bölmənin verdiyi sualın əksidir.

Avtomatik quraşdırma tikinti haqqında nə fərz edir

XFRM interfeysi üçün avtomatik marşrut quraşdırması strongSwan versiyasından və onun konfiqurasiyasından asılıdır. İnterfeys ID-si, quraşdırılmış siyasət və assosiasiya hamısı nəzərdə tutulan obyektlərə istinad etməlidir. Uyğunsuzluq səssizcə real bir yerə yönələn marşrut kimi görünür.

Cədvəl nömrəsini və ya işarə maskasını başqa şlüzdən köçürmək toqquşmaların başladığı yoldur. Əvvəlcə onu nəyin artıq istifadə etdiyini yoxlayın. Toqquşma dəyişmək istədiyiniz tuneldən çox uzaqda trafikə təsir edir və simptom nadir hallarda köçürməyə işarə edir.

Qarşı tərəfin ünvan dəyişiklikləri dizayna aiddir. Dünənki ünvan üçün host marşrutu son nöqtə bərpası planı deyil, işarə isə bu dəyişikliyə tab gətirir.

İlk yeniləməni izləyin

Xarici yolu qorunan marşrutlar quraşdırıldıqdan sonra yoxlayın, əvvəl yox. Sonra növbəti yeniləməni və bir tətbiq mübadiləsini izləyin. Uğursuzluq adətən başlanğıcda deyil, həmin keçiddə üzə çıxır.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Qorunan standart marşrutu müvəqqəti silmək adətən bağlantını bərpa edir. Bu nəticə diaqnostikdir, yekun deyil.

Məqsəd daxili trafiklə onu daşıyan xarici paketlər arasında sabit bölgüdür. Seçilmiş mexanizmi və onun cədvəlini və ya işarəsini şlüz qeydlərinə yazın. Əks halda qaydalara toxunan növbəti şəxs dövrəni yenidən gətirəcək.