Per què una política de seguretat IPsec no és una entrada de la taula d’encaminament

Fes ping a 10.20.0.5 a través del túnel i no torna res, mentre la taula d’encaminament insisteix que aquella subxarxa és abastable. L’encaminament i IPsec responen preguntes diferents, i només una de les dues tracta de l’abastabilitat. La consulta directa tria un camí i després la base de dades de política de seguretat decideix si aquell camí s’ha de protegir, deixar com està o refusar. Quan les dues discrepen, el paquet mor en silenci, així que llegeix-les en aquest ordre.

Comença per la consulta, no per la taula

Pregunta al nucli què faria realment: ip route get 10.20.0.5 mostra la ruta triada, la interfície de sortida i l’adreça d’origen que faria servir. Un prefix, una regla de política, una marca o un origen preferit poden canviar aquesta resposta, i per això la consulta en viu supera llegir la taula a ull.

Prova una destinació dins del rang protegit, no l’adreça de la passarel·la. Arribar a la passarel·la de l’altre costat només demostra que existeix alguna ruta; no diu res sobre la subxarxa que realment necessites. Després confirma que la interfície que ha triat la consulta és la que esperes que faci servir el túnel.

Fes coincidir els selectors als dos costats

La base de dades de política té les seves pròpies entrades, i cadascuna indica una direcció, un origen, una destinació i un protocol, i després diu què ha de passar amb els paquets que coincideixen. Fes servir ip xfrm policy per llistar-les; les marques mostren si l’acció és protegir, ometre o bloquejar. Una política els selectors de la qual són més amples o més estrets que el teu flux de prova no hi coincidirà, i el paquet surt sense protecció. Aquesta és la fallada que busques, no una ruta que falta.

Compara els valors reals: origen, destinació, protocol i ports. Si la consulta ha resolt un parell d’adreces mentre l’entrada de política en cobreix un altre, les dues vistes descriuen trànsit diferent. Torna a executar les dues amb la mateixa tupla abans de treure cap conclusió, o editaràs una política que mai no era al camí.

Una coincidència de política no és estat instal·lat

Una política coincident només diu que el paquet s’ha de protegir; el nucli encara necessita una associació de seguretat per fer la protecció. Llista-les amb ip xfrm state, o amb swanctl --list-sas quan strongSwan fa la negociació, i llegeix els selectors i els comptadors de cada entrada.

Quan una política coincideix i cap associació no cobreix els mateixos selectors, el paquet es descarta en lloc d’enviar-se en text clar. Aquest és el descart que cal buscar quan el túnel està aixecat però una sola subxarxa falla. Els comptadors diuen la resta: una associació que no augmenta mai no ha estat mai triada, mentre que una que augmenta i tot i així acaba en un descart apunta al costat remot. Arreglar selectors i renovar claus són reparacions diferents, així que decideix quina necessites abans de tocar la configuració.

Què encara exigeix un túnel basat en ruta

Una interfície XFRM fa que el túnel sembli un dispositiu cap al qual pots encaminar, cosa que és realment útil. No elimina la política i l’estat que decideixen què passa quan el paquet hi arriba. La ruta aporta un salt següent i res més.

Si el dispositiu existeix i la ruta hi apunta mentre cap associació no coincideix amb els selectors interns, el paquet es descarta, i cap quantitat d’edició de rutes no produeix claus ni selectors. Comprova la interfície amb el mateix origen i destinació que has encaminat i després compara-ho amb la llista d’estats.

Aclareix la propietat abans d’editar res

Un tallafocs de l’amfitrió afegeix una tercera decisió que cap de les dues bases de dades no coneix. Una ruta correcta més una política coincident més una associació instal·lada encara poden acabar en un paquet descartat, i l’aplicació només informa del temps d’espera. Confirma que el tallafocs permet el trànsit protegit abans de culpar IPsec. Capturar al dispositiu del túnel i a la interfície física mostra de quin costat del xifratge ha desaparegut el paquet.

La propietat de la configuració decideix si la teva correcció sobreviu a un reinici. Un component pot instal·lar estat mentre un altre gestiona rutes, i una edició manual al segon es sobreescriu la propera vegada que el túnel puja. Canvia la configuració propietària i després torna a llegir les dues vistes; RFC 4301 manté les dues bases de dades separades quan has d’explicar la divisió a algú altre.