Mae polisi IPsec yn llyncu eich traffig lleol: sut i’w adnabod

Mae’r argraffydd ar y ddesg yn stopio ateb yr eiliad y daw’r twnnel i fyny, ac nid oes dim yn y ffurfweddiad twnnel yn sôn am yr argraffydd. Yr hyn sydd fel arfer wedi digwydd yw bod ystod warchodedig wedi’i hysgrifennu’n ddigon eang i’w chynnwys, felly mae’r peiriant nawr yn ceisio amgryptio traffig a ddylai fod wedi aros ar y segment lleol. Mae darllen y polisi sydd wedi’i osod yn esbonio’r dal; mae ei gyfyngu yn y lle cywir yn cadw’r traffig pell yn warchodedig. Mae’r daith o’r cais sy’n methu i’r polisi cyfatebol yn cymryd ychydig funudau.

Dilynwch y llif cyn newid detholydd

Dechreuwch o’r cais sy’n methu ac ysgrifennwch bedwar gwerth: y cyfeiriad ffynhonnell y mae’r peiriant yn ei ddefnyddio, y cyrchfan union, y llwybr y mae’r cnewyllyn yn ei ddewis a’r polisi sy’n cyfateb i’r pâr hwnnw.

Mae’r pedwar ffaith hyn yn penderfynu a yw’r dal yn fwriadol neu’n ddamweiniol. Mae cyrchfan sy’n syrthio o fewn y detholydd pell yn cael ei warchod yn ôl y cynllun, hyd yn oed os oedd y cynllun yn anghywir. Mae cyrchfan y tu allan iddo sy’n dal i gael ei dal yn golygu bod rhywbeth arall yn cyfateb, ac ni fydd newid y detholydd yn helpu. Mae’r ddau achos yn gyffredin, ac mae un gorchymyn yn eu gwahaniaethu.

Gwnewch hyn cyn golygu unrhyw beth, oherwydd yr achos diddorol yw’r isrwydwaith lleol sy’n gorgyffwrdd ag ystod breifat y mae’r cysylltiad yn ei gwarchod. Mae rhagddodiaid cyfarwydd fel 192.168.0.0/16 yn ymddangos mewn llawer o rwydweithiau, a gall detholydd a ysgrifennwyd ar gyfer un ohonynt orchuddio eich un chi yn dawel.

Tri math o leol sy’n ymddwyn yn wahanol

Mae cyrchfan a neilltuwyd i’r gwesteiwr hwn, cyrchfan ar yr un cyswllt a chyrchfan y tu ôl i ryngwyneb arall yn dri achos gwahanol. Mae’r cnewyllyn yn trin pob un yn wahanol pan fydd yn penderfynu a oes angen gwarchodaeth ar y traffig.

Nid yw traffig a gynhyrchir gan y giât ei hun yr un fath â thraffig a anfonir ymlaen o gleient chwaith. Gall polisi sy’n edrych yn gywir ar gyfer traffig a anfonir ymlaen ddal sesiwn rheoli’r giât ei hun, a dyna sut mae gweinyddwr yn colli mynediad wrth iddo drwsio’r twnnel.

Yr arfer defnyddiol yw enwi’r achos yn uchel: a yw’r pecyn hwn yn dod oddi wrthyf, yn mynd i’m cyswllt, neu’n mynd trwof fi? Mae pob ateb yn pwyntio at le gwahanol i gyfyngu. Mae ysgrifennu’r achos hefyd yn atal y person nesaf rhag ailwneud yr un gwaith.

Pan fo’r ystod warchodedig yn ofod preifat cyfan, gall y tri achos syrthio ynddi ar yr un pryd, a daw’r symptom yn beiriant nad yw’n cyrraedd unrhyw le ond pen draw’r twnnel.

Darllenwch y polisi sydd wedi’i osod, nid y ffeil

Mae ffeiliau ffurfweddu yn disgrifio’r bwriad; mae’r cnewyllyn yn dal y polisïau sy’n cyfateb mewn gwirionedd. Dangoswch y ddau a thriniwch anghysondeb fel y darganfyddiad cyntaf.

Mae’r gorchmynion hyn yn dangos y llwybr a ddewiswyd ar gyfer y gyrchfan a’r polisïau sydd wedi’u gosod ym mhob cyfeiriad:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Mae’r llwybr yn dweud wrthych pa ryngwyneb y byddai’r pecyn yn ei ddefnyddio. Mae’r rhestr bolisïau yn dweud wrthych a fydd templed yn cael ei gymhwyso i’r pecyn hwnnw wedyn, ac mae’r rhestr cysylltiadau yn dangos pa ddetholwyr y mae’r daemon yn credu iddo’u gosod. Os yw’r gyrchfan yn ymddangos mewn detholydd pell, rydych wedi dod o hyd i’r dal heb ddyfalu.

Cyfyngwch y detholydd neu osgoi’r gyrchfan

Mae dau atgyweiriad a gefnogir ac maent yn ateb cwestiynau gwahanol. Mae cyfyngu’r detholydd yn dweud bod y cysylltiad hwn yn gwarchod ystod lai yn unig, sy’n gywir pan oedd yr ystod ehangach yn gamgymeriad. Mae ychwanegu osgoi yn dweud na ddylid byth gwarchod y gyrchfan benodol hon, sy’n gywir pan fo’r ystod warchodedig yn wirioneddol eang ac un gyrchfan yn eithriad.

Dewiswch yr un cyntaf pan allwch, oherwydd mae detholydd llai yn haws ei resymu ac mae’n ymddangos yn niffiniad y cysylltiad. Dewiswch yr ail pan fo’r ystod eang yn fwriadol a’r eithriad yn un gwesteiwr neu isrwydwaith y gallwch ei enwi.

Mae’r ddau yn perthyn i’r ffurfweddiad sy’n berchen ar y cysylltiad. Mae rheol amser rhedeg a ychwanegwyd â llaw yn diflannu yn yr ailgysylltiad nesaf, ac mae’r methiant yn dychwelyd ar hyn o bryd nad oes neb yn cofio’r gweithiad o amgylch.

Eithriadau sy’n goroesi ailosod

Ar ôl y newid, ailadroddwch yr un cais diniwed a chymerwch olwg ar yr un cownteri. Dylai’r gyrchfan leol ateb, a dylai’r gyrchfan bell a fwriadwyd barhau i ddangos traffig amgryptiedig.

Mae’r ddau wiriad hyn yn cadarnhau bod yr eithriad wedi goroesi ac na wnaeth y warchodaeth:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Yna datgysylltwch ac ailgysylltwch y twnnel yn fwriadol, ac ailadroddwch y ddau. Mae eithriad sy’n gweithio cyn yr ailgysylltiad ac yn methu ar ei ôl wedi cael ei gymhwyso i’r haen anghywir, a dyna’r ffordd fwyaf cyffredin y mae’r broblem hon yn dychwelyd.