Zásada IPsec pohlcuje váš místní provoz: jak to poznat

Tiskárna na stole přestane odpovídat ve chvíli, kdy se tunel zvedne, a nic v konfiguraci tunelu tiskárnu nezmiňuje. Obvykle se stalo to, že chráněný rozsah byl zapsán tak široce, že ji zahrnul, takže počítač se nyní snaží šifrovat provoz, který měl zůstat v místním segmentu. Přečtení nainstalované zásady vysvětlí zachycení; zúžení na správném místě udrží vzdálený provoz chráněný. Cesta od selhávajícího požadavku k odpovídající zásadě trvá několik minut.

Projděte tok dříve, než změníte selektor

Začněte u selhávajícího požadavku a zapište čtyři hodnoty: zdrojovou adresu, kterou počítač používá, přesný cíl, trasu, kterou jádro zvolí, a zásadu, která k této dvojici pasuje.

Tyto čtyři skutečnosti rozhodují, zda je zachycení úmyslné, nebo náhodné. Cíl, který spadá do vzdáleného selektoru, je chráněn záměrně, i když byl záměr chybný. Cíl mimo něj, který se přesto zachytí, znamená, že pasuje něco jiného, a změna selektoru nepomůže. Oba případy jsou běžné a rozliší je jediný příkaz.

Udělejte to dřív, než cokoli upravíte, protože zajímavým případem je místní podsíť, která se překrývá s privátním rozsahem chráněným spojením. Známé prefixy jako 192.168.0.0/16 se objevují v mnoha sítích a selektor napsaný pro jeden z nich může tiše pokrýt ten váš.

Tři druhy místního, které se chovají různě

Cíl přiřazený tomuto hostiteli, cíl na stejném spoji a cíl za jiným rozhraním jsou tři různé případy. Jádro s každým zachází jinak, když rozhoduje, zda provoz potřebuje ochranu.

Provoz vytvářený samotnou bránou také není totéž jako provoz předávaný od klienta. Zásada, která vypadá správně pro předávaný provoz, může zachytit vlastní správcovskou relaci brány, a tak správce ztratí přístup, zatímco opravuje tunel.

Užitečný zvyk je pojmenovat případ nahlas: přichází tento paket ode mě, jde na můj spoj, nebo skrze mě? Každá odpověď ukazuje na jiné místo k zúžení. Zapsání případu také zabrání dalšímu člověku opakovat stejnou práci.

Když je chráněný rozsah celý privátní prostor, mohou do něj spadnout všechny tři případy najednou a příznakem se stane počítač, který nedosáhne na nic kromě koncového bodu tunelu.

Čtěte nainstalovanou zásadu, ne soubor

Konfigurační soubory popisují záměr; jádro drží zásady, které skutečně pasují. Ukažte obojí a rozpor berte jako první zjištění.

Tyto příkazy ukazují zvolenou trasu k cíli a nainstalované zásady v každém směru:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Trasa vám řekne, které rozhraní by paket použil. Seznam zásad vám řekne, zda se na tento paket potom použije šablona, a seznam spojení ukazuje, které selektory démon považuje za nainstalované. Pokud se cíl objeví ve vzdáleném selektoru, našli jste zachycení bez hádání.

Zúžte selektor, nebo cíl obejděte

Existují dvě podporované opravy a odpovídají na různé otázky. Zúžení selektoru říká, že toto spojení chrání jen menší rozsah, což je správné, když byl širší rozsah chybou. Přidání obejití říká, že tento konkrétní cíl nesmí být nikdy chráněn, což je správné, když je chráněný rozsah opravdu široký a jeden cíl je výjimkou.

Vyberte první, když můžete, protože menší selektor se snáze chápe a objevuje se v definici spojení. Vyberte druhou, když je široký rozsah záměrný a výjimkou je jediný hostitel nebo podsíť, kterou dokážete pojmenovat.

Obě patří do konfigurace, která spojení vlastní. Pravidlo za běhu přidané ručně zmizí při příštím opětovném připojení a porucha se vrátí v okamžiku, kdy si nikdo nepamatuje obchvat.

Výjimky přežijící reinstalaci

Po změně zopakujte stejný neškodný požadavek a podívejte se na stejné čítače. Místní cíl by měl odpovědět a zamýšlený vzdálený cíl by měl stále vykazovat šifrovaný provoz.

Tyto dvě kontroly potvrzují, že výjimka přežila a ochrana ne:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Pak tunel záměrně odpojte a znovu připojte a obojí zopakujte. Výjimka, která funguje před opětovným připojením a po něm selže, byla použita na špatné vrstvě, a to je nejčastější způsob, jak se tento problém vrací.