Селектори на трафик в IPsec: какво покриват и какво не

Селекторите на трафик именуват вътрешния трафик, който защитава едно IPsec споразумение, и двойката се договаря, а не се предполага. Две крайни точки могат напълно да се удостоверят една друга и пак да не са съгласни кои пакети принадлежат вътре в тунела. Това несъгласие е невидимо в състоянието на връзката, което обикновено съобщава за здрав тунел. Четенето на селекторите от двата края и след това проследяването на една дестинация го открива по-бързо от всяко редактиране на политика.

Четете ги от двата края

Всяка крайна точка описва своята страна като локална, а другата страна като отдалечена. Затова същата двойка префикси изглежда разменена в двете конфигурации и това е правилно, а не противоречиво. Обръщането на перспективата е първото нещо, което трябва да се направи, когато работещо споразумение изглежда грешно на хартия. Сравняването на два файла един до друг без разменянето им създава несъответствие, което не съществува.

Стойностите не винаги са единични подмрежи. Селекторите на IKEv2 могат да носят диапазони от адреси, номера на протоколи и диапазони от портове и така една политика защитава една услуга вместо цяла мрежа. Селектор, по-тесен от предвидения трафик, създава тунел, който пренася някои дестинации и тихо изключва други.

Запишете двете страни в една таблица, преди да промените каквото и да е. Това упражнение обикновено решава въпроса, без да се докосва конфигурационен файл.

Стесняването е решение на отговарящата страна

Инициаторът предлага, а отговарящата страна може да приеме само подмножество. IKEv2 позволява на отговарящата страна да стесни предложените селектори на трафик и стесненият резултат е това, което действително се инсталира. Затова четенето на конфигурацията на инициатора описва предложение, а не споразумението.

Ето защо подмрежа, добавена към клиента, може да създаде работещ тунел, който все пак отказва новата дестинация. Сървърът е стеснил предложението до това, което позволява политиката му, докато файлът на клиента все още изброява по-широкия диапазон. Само договореното състояние показва истината: в Linux ip xfrm policy и списъкът на child SA в документацията за IKEv2 на strongSwan съобщават какво е инсталирано, а не какво е поискано. Когато двете се разминават, политиката на отговарящата страна е тази, която трябва да се промени.

Отхвърленото предложение е различен симптом от стесненото. Отхвърлянето се появява в журнала за договаряне и не оставя никаква child асоциация.

Проследете една дестинация от край до край

Изберете реална дестинация плюс адреса на източника, който клиентът би използвал за нея, и след това проследете тази двойка през три независими решения. Маршрутът избира път, селекторът решава дали този път е защитен, а защитната стена решава дали пакетът е разрешен. Всяко от тях може да се провали само по себе си, а широкият селектор не поправя никое от останалите.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Заявката за маршрут посочва интерфейса и адреса на източника, които биха пренесли пакета. Списъкът с политики показва дали съществува съответстваща тунелна политика за тази двойка, включително посоката и нивото ѝ. Списъкът със SA показва договорените child селектори заедно с броячи, затова child асоциация с нула пакета след опит за трафик е подписът на селектори, които изключват изпращаното. Три команди, три различни отговора и само един от тях обяснява тихо отпадане.

Ако броячите на child се движат, докато приложението все още се проваля, проблемът е отвъд тунела. Това премества разследването към слушателя или защитната стена на отдалечения хост, а не към селекторите.

Дръжте двете цели разделени

Защитата на офис подмрежа и прекарването на целия трафик през отдалечен изход са различни изисквания с различни селектори. Профил, изграден за едното, рядко подхожда на другото, а смесването им дава или изтичане, или счупено разделяне. Разширяването на защитения диапазон означава промяна на двете крайни точки и на тяхната политика за препращане, защото едностранната промяна се превръща в отхвърлено предложение. Това е най-честият начин работещ тунел да спре да работи след малка редакция.

Селекторите описват криптографско покритие, маршрутите избират пътища, а приложенията налагат свои собствени разрешения. Тунел, който покрива всичко, пак не може да достигне услуга, вързана към loopback, а маршрут към тунела пак се нуждае от селектор, който включва дестинацията. Проверете и трите срещу една и съща тестова заявка и несъответствието ще се назове само.