IPsec selektori saobraćaja: šta pokrivaju, a šta ne

Selektori saobraćaja imenuju unutrašnji saobraćaj koji IPsec sporazum štiti, a par se pregovara, ne pretpostavlja. Dvije krajnje točke mogu se savršeno međusobno autentifikovati i ipak se ne slagati oko toga koji paketi pripadaju unutar tunela. To neslaganje je nevidljivo u statusu veze, koji obično prijavljuje zdrav tunel. Čitanje selektora s oba kraja i praćenje jednog odredišta pronalazi ga brže od bilo kakvog uređivanja politike.

Čitajte ih s oba kraja

Svaka krajnja točka opisuje svoju stranu kao lokalnu, a drugu stranu kao udaljenu. Zato isti par prefiksa izgleda zamijenjen u dvije konfiguracije, i to je ispravno, a ne protivrječno. Okretanje perspektive prvo je što treba uraditi kada radni sporazum na papiru izgleda pogrešno. Poređenje dva fajla jedan uz drugi bez zamjene stvara nepodudarnost koja ne postoji.

Vrijednosti nisu uvijek pojedinačne podmreže. IKEv2 selektori mogu nositi raspone adresa, brojeve protokola i raspone portova, i tako politika štiti jednu uslugu umjesto cijele mreže. Selektor uži od predviđenog saobraćaja stvara tunel koji nosi neka odredišta i tiho isključuje druga.

Upišite obje strane u jednu tabelu prije nego što bilo šta promijenite. Ta vježba obično riješi pitanje bez diranja konfiguracijskog fajla.

Sužavanje je odluka respondera

Inicijator predlaže, a responder može prihvatiti samo podskup. IKEv2 dozvoljava responderu da suzi ponuđene selektore saobraćaja, i suženi rezultat je ono što se zaista instalira. Čitanje inicijatorove konfiguracije zato opisuje ponudu, a ne sporazum.

Zato podmreža dodana klijentu može stvoriti radni tunel koji ipak odbija novo odredište. Server je suzio ponudu na ono što njegova politika dozvoljava, dok klijentov fajl još navodi širi raspon. Samo pregovarano stanje pokazuje istinu: na Linuxu ip xfrm policy i popis child SA u strongSwanovoj dokumentaciji za IKEv2 prijavljuju šta je instalirano, a ne šta je zatraženo. Kada se njih dva razilaze, politika respondera je ta koju treba mijenjati.

Odbijena ponuda je drugačiji simptom od sužene. Odbijanje se pojavljuje u dnevniku pregovora i uopšte ne ostavlja child asocijaciju.

Pratite jedno odredište od početka do kraja

Odaberite stvarno odredište plus izvornu adresu koju bi klijent za njega koristio, pa pratite taj par kroz tri nezavisne odluke. Ruta bira put, selektor odlučuje je li taj put zaštićen, a firewall odlučuje je li paket dozvoljen. Svako može pasti sam po sebi, a široki selektor ne popravlja ni jedno od ostalih.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Upit rute imenuje interfejs i izvornu adresu koji bi nosili paket. Popis politika pokazuje postoji li odgovarajuća tunelska politika za taj par, uključujući smjer i nivo. Popis SA pokazuje pregovarane child selektore zajedno s brojačima, pa je child asocijacija s nula paketa nakon pokušanog saobraćaja potpis selektora koji isključuju ono što se šalje. Tri komande, tri različita odgovora, i samo jedan od njih objašnjava tiho odbacivanje.

Ako se child brojači pomjeraju dok aplikacija još ne radi, problem je iza tunela. To preusmjerava istragu na slušalicu ili firewall udaljenog hosta, a ne na selektore.

Držite dva cilja odvojeno

Zaštita uredske podmreže i slanje cijelog pregledanja kroz udaljeni izlaz različiti su zahtjevi s različitim selektorima. Profil napravljen za jedno rijetko odgovara drugome, a njihovo miješanje daje ili curenje ili slomljeni split. Proširenje zaštićenog raspona znači mijenjanje obje krajnje točke i njihove politike prosljeđivanja, jer jednostrana promjena postaje odbijena ponuda. To je najčešći način na koji radni tunel prestane raditi nakon male izmjene.

Selektori opisuju kriptografsku pokrivenost, rute biraju puteve, a aplikacije nameću vlastite dozvole. Tunel koji pokriva sve ipak ne može doći do usluge vezane za loopback, a ruta u tunel ipak treba selektor koji uključuje odredište. Provjerite sva tri na istom testnom zahtjevu, i neslaganje će se samo imenovati.