La ruta per defecte d'XFRM s'empassà IKE i ESP: manteniu el camí exterior

El trànsit està protegit, el túnel funciona i després mor en la següent renovació de claus. Una ruta per defecte a través de la interfície XFRM descrivia el trànsit que volíeu protegir. També s'empassà els paquets necessaris per seguir protegint-lo.

Les dues destinacions implicades no són intercanviables. L'encaminament ho ha de dir explícitament.

On va realment la consulta del peer

Anoteu les regles actives, la taula que conté la ruta XFRM i l'adreça pública del peer. Després mireu el camí que prendria la connexió exterior amb la seva font i marca reals. Una destinació genèrica no us diu res sobre aquest camí de control. Només la font i la marca reals donen una resposta útil.

Una connexió inicial correcta també demostra poc. La fallada sovint apareix després que una instal·lació de ruta canviï la resposta. L'arrencada funciona, però la primera renovació no.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Si la consulta del peer acaba a la interfície XFRM, els paquets exteriors s'encaminen cap al túnel que ells mateixos construeixen. Aquest és el bucle, visible amb una sola ordre.

Opcions d'exclusió en una passarel·la moderna

La documentació de strongSwan sobre VPN basada en encaminament planteja dues respostes pràctiques. Una marca IKE i ESP perquè la regla que apunta a la taula XFRM no hi coincideixi. L'altra deixa una ruta de peer o una exclusió que la consulta encara pot assolir.

Agafeu la que el vostre conjunt de regles pugui expressar sense efectes secundaris. La marca és neta quan la resta de la pila ja fa servir marques. És un perill quan la mateixa màscara significa una altra cosa en una altra regla. Els dos tipus de paquet necessiten el tractament igualment.

Marcar només IKE deixa els paquets de dades al camí capturat. Això produeix un túnel que fa l'handshake i després no transporta res.

La marca és un bit al fwmark del paquet que cap altra cosa de la passarel·la reclama: 0x1 amb màscara 0x1 és l'elecció habitual, i s'ha de definir en dos llocs perquè l'exclusió funcioni. Charon la necessita al sòcol d'IKE, i els paràmetres de marca d'entrada i sortida de la connexió filla necessiten el mateix valor perquè els paquets encapsulats també surtin marcats. Una màscara 0x1 en lloc de 0xffffffff deixa lliures els bits restants, cosa que importa quan un altre subsistema ja marca paquets al mateix amfitrió. Amb tots dos definits, la regla s'escriu com a exclusió, de manera que els paquets marcats s'estalvien la taula que conté la ruta XFRM i passen a la taula principal:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Després llegiu la resposta amb la marca aplicada. Sense ella examineu el camí que pren el trànsit protegit, que és el contrari de la pregunta d'aquesta secció.

Què pressuposa la instal·lació automàtica sobre la compilació

Instal·lació automàtica de rutes per a una interfície XFRM depèn de la versió de strongSwan i de la seva configuració. L'ID de la interfície, la política instal·lada i l'associació han de referir-se tots als objectes previstos. Una discrepància es manifesta com una ruta que apunta en silenci a un lloc real.

Copiar un número de taula o una màscara de marca d'una altra passarel·la és com comencen les col·lisions. Comproveu primer què la fa servir. Una col·lisió afecta trànsit molt més enllà del túnel que volíeu canviar, i el símptoma poques vegades assenyala la còpia.

Els canvis d'adreça del peer formen part del disseny. Una ruta d'amfitrió per a l'adreça d'ahir no és un pla de recuperació del punt final, mentre que una marca sobreviu a aquest canvi.

Vigileu la primera renovació

Comproveu el camí exterior després que les rutes protegides estiguin instal·lades, no abans. Després vigileu la renovació següent i un intercanvi d'aplicació. La fallada sol aparèixer en aquesta transició i no a l'arrencada.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Treure temporalment la ruta per defecte protegida normalment restaura la connectivitat. Aquest resultat és diagnòstic, no definitiu.

L'objectiu és una divisió estable entre el trànsit interior i els paquets exteriors que el transporten. Escriviu el mecanisme triat i la seva taula o marca a les notes de la passarel·la. Si no, la propera persona que toqui les regles reintroduirà el bucle.