Dewiswyr traffig IPsec: beth maen nhw’n ei gwmpasu a beth nad ydyn nhw’n ei gwmpasu

Mae dewiswyr traffig yn enwi’r traffig mewnol y mae cytundeb IPsec yn ei amddiffyn, ac mae’r pâr yn cael ei drafod yn hytrach na’i dybio. Gall dau ben brofi ei gilydd yn berffaith a dal i anghytuno ynghylch pa becynnau sy’n perthyn y tu mewn i’r twnnel. Mae’r anghytundeb hwnnw’n anweledig yn statws y cysylltiad, sydd fel arfer yn adrodd twnnel iach. Mae darllen y dewiswyr o’r ddau ben, yna dilyn un cyrchfan, yn ei ganfod yn gyflymach nag unrhyw faint o olygu polisi.

Darllenwch nhw o’r ddau ben

Mae pob pen yn disgrifio ei ochr ei hun fel lleol a’r ochr arall fel o bell. Felly mae’r un pâr o rageiniau i’w weld wedi’i gyfnewid yn y ddau ffurfweddiad, ac mae hynny’n gywir yn hytrach na’i fod yn groes. Gwrthdroi’r safbwynt yw’r peth cyntaf i’w wneud pan fo cytundeb sy’n gweithio yn edrych yn anghywir ar bapur. Mae cymharu dwy ffeil ochr yn ochr heb eu cyfnewid yn cynhyrchu anghysondeb nad yw’n bodoli.

Nid yw’r gwerthoedd bob amser yn is-rwydweithiau sengl. Gall dewiswyr IKEv2 gario ystodau cyfeiriadau, rhifau protocol ac ystodau porthladdoedd, a dyna sut mae polisi yn amddiffyn un gwasanaeth yn lle rhwydwaith cyfan. Mae dewisydd sy’n gulach na’r traffig a fwriedir yn cynhyrchu twnnel sy’n cario rhai cyrchfannau ac yn eithrio eraill yn dawel.

Ysgrifennwch y ddwy ochr mewn un tabl cyn newid unrhyw beth. Mae’r ymarferiad fel arfer yn setlo’r cwestiwn heb gyffwrdd â ffeil ffurfweddu.

Penderfyniad yr ymatebydd yw culhau

Mae cychwynnydd yn cynnig, ac efallai mai dim ond is-set y gall yr ymatebydd ei derbyn. Mae IKEv2 yn caniatáu i’r ymatebydd gulhau’r dewiswyr traffig a gynigir, a’r canlyniad culhau yw’r hyn a osodir mewn gwirionedd. Felly mae darllen ffurfweddiad y cychwynnydd yn disgrifio cynnig, nid y cytundeb.

Dyna pam y gall is-rwydwaith a ychwanegir at y cleient gynhyrchu twnnel sy’n gweithio ac sy’n dal i wrthod y gyrchfan newydd. Culhaodd y gweinydd y cynnig yn ôl i’r hyn y mae ei bolisi yn ei ganiatáu, tra bod ffeil y cleient yn dal i restru’r ystod ehangach. Dim ond y cyflwr a drafodwyd sy’n dangos y gwir: ar Linux mae ip xfrm policy a’r rhestr child SA yn dogfennaeth IKEv2 strongSwan yn adrodd yr hyn a osodwyd yn hytrach na’r hyn a ofynnwyd. Pan fo’r ddau yn anghytuno, polisi’r ymatebydd yw’r un i’w newid.

Mae cynnig a wrthodwyd yn symptom gwahanol i un a gulhawyd. Mae gwrthodiad yn ymddangos yn llog y trafodaethau ac yn gadael dim cysylltiad child o gwbl.

Dilynwch un gyrchfan o’r dechrau i’r diwedd

Dewiswch gyrchfan go iawn ynghyd â’r cyfeiriad ffynhonnell y byddai’r cleient yn ei ddefnyddio ar ei chyfer, yna dilynwch y pâr hwnnw drwy dair penderfyniad annibynnol. Mae’r llwybr yn dewis llwybr, mae’r dewisydd yn penderfynu a yw’r llwybr hwnnw wedi’i amddiffyn, ac mae’r mur gwarchod yn penderfynu a yw’r pecyn yn cael ei ganiatáu. Gall pob un fethu ar ei ben ei hun, ac nid yw dewisydd eang yn trwsio’r un o’r lleill.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Mae ymholiad y llwybr yn enwi’r rhyngwyneb a’r cyfeiriad ffynhonnell a fyddai’n cario’r pecyn. Mae’r rhestr polisïau yn dangos a oes polisi twnnel cyfatebol ar gyfer y pâr hwnnw, gan gynnwys ei gyfeiriad a’i lefel. Mae’r rhestr SA yn dangos y dewiswyr child a drafodwyd ynghyd â chyfrifwyr, felly cysylltiad child â sero pecyn ar ôl ceisio traffig yw llofnod dewiswyr sy’n eithrio’r hyn a anfonir. Tair gorchymyn, tair ateb wahanol, a dim ond un ohonynt yn esbonio gollwng tawel.

Os yw cyfrifwyr child yn symud tra bod y rhaglen yn dal i fethu, mae’r broblem y tu hwnt i’r twnnel. Mae hynny’n symud yr ymchwiliad at wrandäwr neu fur gwarchod y gwesteiwr pell yn hytrach nag at y dewiswyr.

Cadwch y ddau nod ar wahân

Mae amddiffyn is-rwydwaith swyddfa ac anfon pob pori drwy allanfa bell yn ofynion gwahanol â dewiswyr gwahanol. Anaml y mae proffil a adeiladwyd ar gyfer un yn addas i’r llall, ac mae eu cymysgu yn cynhyrchu naill ai gollyngiad neu hollt wedi torri. Mae ehangu’r ystod warchodedig yn golygu newid y ddau ben a’u polisi anfon, oherwydd mae newid unochrog yn troi’n gynnig a wrthodir. Dyma’r ffordd fwyaf cyffredin y mae twnnel sy’n gweithio yn stopio gweithio ar ôl golygiad bach.

Mae dewiswyr yn disgrifio sylw cryptograffig, mae llwybrau yn dewis llwybrau, ac mae rhaglenni yn gorfodi eu hawliau eu hunain. Ni all twnnel sy’n cwmpasu popeth gyrraedd gwasanaeth sy’n rhwym wrth loopback, ac mae llwybr i mewn i’r twnnel yn dal i fod angen dewisydd sy’n cynnwys y gyrchfan. Gwiriwch y tri yn erbyn yr un cais prawf, ac mae’r anghytundeb yn enwi ei hun.