Zašto IPsec sigurnosna politika nije unos u tabeli ruta

Pošaljite ping na 10.20.0.5 kroz tunel i ništa se ne vraća, dok tabela ruta tvrdi da je ta podmreža dostupna. Rutiranje i IPsec odgovaraju na različita pitanja, a samo jedno od njih je o dostupnosti. Pretraga naprijed bira put, a zatim baza sigurnosne politike odlučuje mora li taj put biti zaštićen, ostavljen kakav jest ili odbijen. Kada se njih dvoje ne slažu, paket tiho umire, pa ih čitajte tim redom.

Počnite s pretragom, a ne s tabelom

Pitajte jezgro šta bi zaista uradilo: ip route get 10.20.0.5 ispisuje izabranu rutu, izlazni interfejs i izvornu adresu koju bi koristilo. Prefiks, pravilo politike, oznaka ili preferirani izvor mogu promijeniti taj odgovor, zato je živa pretraga bolja od čitanja tabele na oko.

Testirajte odredište unutar zaštićenog opsega, a ne adresu gateway-a. Dosezanje gateway-a s druge strane dokazuje samo da neka ruta postoji; ne govori ništa o podmreži koja vam zapravo treba. Zatim potvrdite da je interfejs koji je pretraga izabrala onaj za koji očekujete da će ga tunel koristiti.

Uskladite selektore na obje strane

Baza politike ima vlastite unose, a svaki navodi smjer, izvor, odredište i protokol, pa kaže šta treba uraditi s paketima koji se poklapaju. Koristite ip xfrm policy da ih izlistate; zastavice pokazuju da li je radnja zaštita, zaobilaženje ili blokiranje. Politika čiji su selektori širi ili uži od vašeg testnog toka neće se poklopiti s njim, a paket izlazi nezaštićen. To je kvar koji tražite, a ne ruta koja nedostaje.

Uporedite stvarne vrijednosti: izvor, odredište, protokol i portove. Ako je pretraga razriješila jedan par adresa, a unos politike pokriva drugi, dva prikaza opisuju različit saobraćaj. Ponovite oba s istom kombinacijom prije nego što donesete zaključak, inače ćete urediti politiku koja nikada nije bila na putu.

Poklapanje politike nije instalirano stanje

Politika koja se poklapa samo kaže da paket mora biti zaštićen; jezgru je i dalje potrebna sigurnosna asocijacija da izvrši zaštitu. Izlistajte ih s ip xfrm state, ili s swanctl --list-sas kada strongSwan vodi pregovore, i pročitajte selektore i brojače na svakom unosu.

Kada se politika poklopi, a nijedna asocijacija ne pokriva iste selektore, paket se odbacuje umjesto da bude poslan u čistom tekstu. To je odbacivanje koje treba tražiti kada je tunel podignut, ali jedna podmreža ne radi. Brojači govore ostalo: asocijacija koja nikad ne raste nikad nije bila izabrana, dok ona koja raste i ipak završi odbacivanjem pokazuje na udaljenu stranu. Popravka selektora i obnavljanje ključeva su različite popravke, zato odlučite koja vam treba prije nego što dirnete konfiguraciju.

Šta tunel zasnovan na ruti i dalje zahtijeva

XFRM interfejs čini da tunel izgleda kao uređaj u koji možete usmjeravati, što je zaista korisno. On ne uklanja politiku i stanje koji odlučuju šta se događa kada paket stigne tamo. Ruta doprinosi sljedećem skoku i ničemu više.

Ako uređaj postoji i ruta pokazuje u njega, a nijedna asocijacija ne odgovara unutrašnjim selektorima, paket se odbacuje, i nikakvo uređivanje ruta ne stvara ključeve ili selektore. Provjerite interfejs s istim izvorom i odredištem koje ste usmjerili, pa to uporedite s listom stanja.

Razjasnite vlasništvo prije nego što bilo šta uredite

Firewall na hostu dodaje treću odluku za koju nijedna od dvije baze ne zna. Ispravna ruta plus politika koja se poklapa plus instalirana asocijacija i dalje mogu završiti odbačenim paketom, a aplikacija prijavljuje samo istek vremena. Potvrdite da firewall dozvoljava zaštićeni saobraćaj prije nego što okrivite IPsec. Snimanje na tunelskom uređaju i na fizičkom interfejsu pokazuje s koje strane šifriranja je paket nestao.

Vlasništvo konfiguracije odlučuje hoće li vaša popravka preživjeti restart. Jedna komponenta može instalirati stanje dok druga upravlja rutama, a ručna izmjena druge biva prepisana sljedeći put kada se tunel podigne. Promijenite konfiguraciju vlasnika, pa ponovo pročitajte oba prikaza; RFC 4301 drži dvije baze odvojenim kada nekome drugome morate objasniti tu podjelu.