Dosezanje IKEv2 klijenta na njegovoj dodijeljenoj virtualnoj IP adresi

Prolaz mora započeti vezu prema prijenosnom računaru povezanom s njim preko IKEv2, koristeći dodijeljenu virtualnu adresu tog klijenta. Tunel je podignut, klijent doseže sve iza prolaza, a obrnuti smjer još uvijek ne uspijeva. Ta asimetrija je normalna: dogovorena politika opisuje koje adrese smiju razgovarati, a ne koja strana smije započeti. Tri stvari moraju se poklopiti prije nego zahtjev koji započne prolaz proradi.

Tunel ne ispravlja adresu izvora

CHILD SA pokriva par selektora prometa, po jedan za svaku stranu, i dopušta promet u oba smjera tog para. Ne govori ništa o tome koji je peer prvi otvorio IKE razmjenu. Prolaz koji je prvobitno slušao za tunel još uvijek može poslati prvi paket aplikacije, pod uslovom da odabrani izvor i odredište padaju unutar instaliranih selektora. Kada zahtjev izađe s pogrešnog interfejsa, on jednostavno nije podoban za tunel.

Usmjeravanje prema klijentu je neophodno i nije dovoljno. Politika mora propustiti izvor koji ste stvarno koristili.

Čitajte instaliranu politiku, a ne konfiguracijsku datoteku

Pođite od aktivne asocijacije i njenih selektora, jer dinamička dodjela mijenja ono što je instalirano u kernelu.

ipsec statusall
ip xfrm policy

Izlaz statusa imenuje vezu, dodijeljenu virtualnu adresu i selektore koji trenutno važe za tog peera. Ispis politike prikazuje iste selektore kao stanje kernela, a to je ono što odabir paketa zapravo konsultuje. Uporedite selektor na strani prolaza s izvorom koji će vaša aplikacija koristiti, jer neslaganje odmah objašnjava neuspjeh. Čitajte trenutnu adresu klijenta, a ne onu iz prethodne sesije, jer ponovno dodijeljeni VIP čini staru politiku nevažećom.

Klijent mora slušati tamo gdje paket dolazi

Čak i savršena politika dolazi do zatvorenog porta kada se servis veže samo na loopback. Slušalac mora biti na dodijeljenoj adresi ili na zamjenskoj lokalnoj adresi.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Popis soketa pokazuje je li port vezan na virtualnu adresu, a pravila firewall-a pokazuju primaju li se nove veze sa zaštićenog izvora. Pravilo napisano za uspostavljene veze ne propušta vezu koju započne prolaz. Zadržite vlastitu autentifikaciju servisa, jer dolazak kroz tunel samo utvrđuje s koje mreže je paket došao. Klijent iza vlastitog NAT-a i dalje ne treba dolazno prosljeđivanje porta, jer ovi zahtjevi putuju unutar postojećeg tunela.

Testirajte novi smjer zasebno

Ispravan zahtjev od klijenta prema serveru nikada ne prolazi ovim putem. Generirajte zahtjev s prolaza i promatrajte oba kraja.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Pretraga rute odgovara koji bi izvor i interfejs prolaz koristio, a to je vrijednost koju politika mora propustiti. Snimak treba pokazati da zahtjev izlazi unutar ESP-a, a ne kao obični TCP na javnom interfejsu. Na klijentu snimite dešifrovani promet kako biste potvrdili dolazak i je li servis odgovorio. Ako zahtjev nestane bez ESP-a na mreži, sumnjajte na adresu izvora prije klijentovog firewall-a.

Ponovite test nakon izmjene ključa ili ponovnog povezivanja, jer se VIP može promijeniti. Put koji radi samo do sljedeće sesije nije put koji radi.