Селектары трафіку IPsec: што яны ахопліваюць, а што — не

Селектары трафіку называюць унутраны трафік, які абараняе пагадненне IPsec, і пара ўзгадняецца, а не мяркуецца. Дзве канчатковыя кропкі могуць бездакорна аўтэнтыфікаваць адна адну і ўсё роўна разыходзіцца ў тым, якія пакеты належаць унутр тунеля. Гэтае разыходжанне нябачнае ў стане злучэння, які звычайна паведамляе пра здаровы тунель. Чытанне селектараў з абодвух бакоў і прасочванне аднаго пункта прызначэння знаходзіць яго хутчэй за любое рэдагаванне палітыкі.

Чытайце іх з абодвух бакоў

Кожная канчатковая кропка апісвае свой бок як лакальны, а другі бок як аддалены. Таму адна і тая ж пара прэфіксаў выглядае перамененай у двух канфігурацыях, і гэта правільна, а не супярэчліва. Перавярнуць перспектыву — першае, што трэба зрабіць, калі працоўнае пагадненне выглядае няправільным на паперы. Параўнанне двух файлаў побач без іх перамены стварае неіснуючую неадпаведнасць.

Значэнні не заўсёды асобныя падсеткі. Селектары IKEv2 могуць несці дыяпазоны адрасоў, нумары пратаколаў і дыяпазоны партоў, і менавіта так палітыка абараняе адну паслугу замест усёй сеткі. Селектар, вузчэйшы за меркаваны трафік, стварае тунель, які нясе некаторыя пункты прызначэння і моўчкі выключае іншыя.

Запішыце абодва бакі ў адну табліцу, перш чым нешта змяняць. Гэта практыкаванне звычайна вырашае пытанне, не кранаючы файл канфігурацыі.

Звужванне — рашэнне адказніка

Ініцыятар прапануе, а адказнік можа прыняць толькі частку. IKEv2 дазваляе адказніку звужваць прапанаваныя селектары трафіку, і менавіта звужаны вынік фактычна ўсталёўваецца. Таму чытанне канфігурацыі ініцыятара апісвае прапанову, а не пагадненне.

Менавіта таму падсетка, дададзеная да кліента, можа стварыць працоўны тунель, які ўсё роўна адхіляе новы пункт прызначэння. Сервер звузіў прапанову да таго, што дазваляе яго палітыка, а файл кліента ўсё яшчэ пералічвае шырэйшы дыяпазон. Толькі ўзгоднены стан паказвае праўду: у Linux ip xfrm policy і спіс child SA у дакументацыі IKEv2 ад strongSwan паведамляюць пра ўсталяванае, а не пра запытанае. Калі яны разыходзяцца, змяняць трэба палітыку адказніка.

Адхіленая прапанова — іншы сімптом, чым звужаная. Адхіленне з’яўляецца ў журнале перамоў і зусім не пакідае child-асацыяцыі.

Прасочвайце адзін пункт прызначэння ад пачатку да канца

Вазьміце рэальны пункт прызначэння разам з адрасам крыніцы, які кліент выкарыстаў бы для яго, затым прасочвайце гэтую пару праз тры незалежныя рашэнні. Маршрут выбірае шлях, селектар вырашае, ці абаронены гэты шлях, а фэйрвол вырашае, ці дазволены пакет. Кожнае можа зламацца сама па сабе, і шырокі селектар не выпраўляе ні адно з іншых.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Запыт маршруту называе інтэрфейс і адрас крыніцы, якія панеслі б пакет. Спіс палітык паказвае, ці існуе адпаведная тунельная палітыка для гэтай пары, уключаючы яе кірунак і ўзровень. Спіс SA паказвае ўзгодненыя child-селектары разам з лічыльнікамі, таму child-асацыяцыя з нулём пакетаў пасля спробы трафіку — гэта подпіс селектараў, якія выключаюць тое, што адпраўляецца. Тры каманды, тры розныя адказы, і толькі адна з іх тлумачыць маўклівае скідванне.

Калі лічыльнікі child рухаюцца, а праграма ўсё яшчэ не працуе, праблема знаходзіцца за тунелем. Гэта пераносіць расследаванне на слухач або фэйрвол далёкага хоста, а не на селектары.

Трымайце дзве мэты асобна

Абарона офіснай падсеткі і адпраўка ўсяго прагляду праз аддалены выхад — гэта розныя патрабаванні з рознымі селектарамі. Профіль, пабудаваны для аднаго, рэдка падыходзіць для другога, а іх змешванне дае альбо ўцечку, альбо зламанае раздзяленне. Пашырэнне абароненага дыяпазону азначае змену абодвух канчатковых кропак і іх палітыкі перасылкі, бо аднабаковыя змены сталі б адхіленай прапановай. Гэта самы часты спосаб, якім працоўны тунель перастае працаваць пасля дробнай правакі.

Селектары апісваюць крыптаграфічнае пакрыццё, маршруты выбіраюць шляхі, а праграмы ўводзяць уласныя дазволы. Тунель, які ахоплівае ўсё, усё роўна не дасягне паслугі, прывязанай да loopback, а маршрут у тунель усё яшчэ патрабуе селектара, які ўключае пункт прызначэння. Праверце ўсе тры супраць аднаго тэставага запыту, і неадпаведнасць назаве сябе сама.