Cyrraedd cleient IKEv2 yn ei IP rhithwir ddynodedig

Mae angen i borth ddechrau cysylltiad â gliniadur sydd wedi’i gysylltu ag ef dros IKEv2, gan ddefnyddio cyfeiriad rhithwir dynodedig y cleient hwnnw. Mae’r twnnel i fyny, mae’r cleient yn cyrraedd popeth y tu ôl i’r porth, ac mae’r cyfeiriad arall yn dal i fethu. Mae’r anghymesuredd hwnnw’n normal: mae’r polisi a drafodwyd yn disgrifio pa gyfeiriadau a ganiateir i siarad, nid pa ochr a ganiateir i ddechrau. Rhaid i dri pheth gyd-fynd cyn i gais a ddechreuwyd gan y porth weithio.

Nid yw’r twnnel yn trwsio’r cyfeiriad ffynhonnell

Mae CHILD SA yn cwmpasu pâr o ddetholwyr traffig, un ar bob ochr, ac yn caniatáu traffig yn y ddwy gyfeiriad o’r pâr hwnnw. Nid yw’n dweud dim am ba gymar a agorodd y gyfnewid IKE gyntaf. Gall porth a oedd yn gwrando ar y twnnel yn wreiddiol anfon y pecyn cymhwysiad cyntaf o hyd, ar yr amod bod y ffynhonnell a’r gyrchfan a ddewiswyd o fewn y detholwyr sydd wedi’u gosod. Pan fydd y cais yn gadael o’r rhyngwyneb anghywir, nid yw’n gymwys ar gyfer y twnnel.

Mae llwybro tuag at y cleient yn angenrheidiol ac nid yn ddigonol. Rhaid i’r polisi dderbyn y ffynhonnell a ddefnyddiwyd gennych mewn gwirionedd.

Darllenwch y polisi sydd wedi’i osod, nid y ffeil ffurfweddu

Dechreuwch o’r gymdeithas weithredol a’i detholwyr, oherwydd mae dynodiad dynamig yn newid yr hyn sydd wedi’i osod yn y cnewyllyn.

ipsec statusall
ip xfrm policy

Mae allbwn statws yn enwi’r cysylltiad, y cyfeiriad rhithwir a ddynodwyd a’r detholwyr sydd mewn grym ar hyn o bryd ar gyfer y cymar hwnnw. Mae’r dump polisi yn dangos yr un detholwyr fel cyflwr y cnewyllyn, a dyna y mae dewis pecynnau yn ymgynghori ag ef mewn gwirionedd. Cymharwch ddetholwr ochr y porth â’r ffynhonnell y bydd eich cymhwysiad yn ei defnyddio, oherwydd mae anghysondeb yn esbonio’r methiant ar unwaith. Darllenwch gyfeiriad presennol y cleient yn hytrach nag un o sesiwn flaenorol, oherwydd mae VIP a ailddynodwyd yn annilysu’r hen bolisi.

Rhaid i’r cleient wrando lle mae’r pecyn yn cyrraedd

Mae hyd yn oed polisi perffaith yn cyrraedd porthiant caeëdig pan fo’r gwasanaeth yn rhwymo i loopback yn unig. Rhaid i’r gwrandawr fod ar y cyfeiriad a ddynodwyd neu ar gyfeiriad lleol gwyllt.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Mae’r rhestr socedi yn dangos a yw’r porthiant wedi’i rwymo i’r cyfeiriad rhithwir, ac mae rheolau’r mur tân yn dangos a dderbynnir cysylltiadau newydd o’r ffynhonnell warchodedig. Nid yw rheol a ysgrifennwyd ar gyfer cysylltiadau sefydledig yn derbyn cysylltiad y mae’r porth yn ei ddechrau. Cadwch ddilysu’r gwasanaeth ei hun, oherwydd dim ond pa rwydwaith y daeth y pecyn ohoni y mae cyrraedd trwy’r twnnel yn ei sefydlu. Nid oes angen cyfeirio porthiant tuag i mewn ar gleient y tu ôl i’w NAT ei hun o hyd, oherwydd mae’r ceisiadau hyn yn teithio y tu mewn i’r twnnel presennol.

Profwch y cyfeiriad newydd ar ei ben ei hun

Nid yw cais cleient-i-weinydd sy’n gweithio byth yn arfer y llwybr hwn. Cynhyrchwch y cais o’r porth ac arsylwch y ddau ben.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Mae’r chwiliad llwybr yn ateb pa ffynhonnell a rhyngwyneb y byddai’r porth yn eu defnyddio, a dyna’r gwerth y mae’n rhaid i’r polisi ei dderbyn. Dylai’r cipiad ddangos y cais yn gadael y tu mewn i ESP yn hytrach nag fel TCP plaen ar y rhyngwyneb cyhoeddus. Ar y cleient, cipiwch y traffig wedi’i ddadgryptio i gadarnhau’r dyfodiad ac a atebodd y gwasanaeth. Os yw’r cais yn diflannu heb ESP ar y weiren, amheuwch y cyfeiriad ffynhonnell cyn mur tân y cleient.

Codwch y prawf eto ar ôl ail-allweddio neu ailgysylltu, oherwydd gall y VIP newid. Nid yw llwybr sy’n gweithio hyd at y sesiwn nesaf yn llwybr gweithredol.