Sut mae IPsec sy'n seiliedig ar lwybrau yn gweithio gyda rhyngwyneb XFRM

Mae IPsec sy'n seiliedig ar lwybrau yn rhoi i'r tabl llwybrau benderfyniad a arferai gael ei wneud gan ddewiswyr polisi. Ar Linux, y darn sy'n gwneud hyn yn bosibl yw'r rhyngwyneb XFRM: dyfais rithwir y mae ei thraffig yn cael ei baru â chyflwr IPsec trwy ddynodwr rhyngwyneb yn hytrach na thrwy ddewiswr. Mae creu un yn cymryd un gorchymyn ac nid yw'n profi dim am fodolaeth twnnel. Mae'r ddyfais yn fachyn rhwng llwybro a pholisi diogelwch, ac mae angen ffurfweddu dwy ochr y fachyn honno cyn i unrhyw beth gael ei warchod.

Beth yw'r ddyfais a beth nad yw

Mae rhyngwyneb XFRM yn handlen llwybro. Mae pecynnau a lwybrir iddo yn cael eu paru â pholisïau XFRM sy'n cyfeirio at yr un dynodwr rhyngwyneb, ac os oes polisi a chyflwr yn bodoli, maent yn cael eu hincapsiwleiddio. Heb y rheini, mae'r rhyngwyneb yn bodoli, mae'r cownteri'n aros yn llonydd, ac mae'r traffig yn mynd i rywle di-fudd.

Dyma'r rhaniad diagnostig cyntaf. Mae llwybr i mewn i'r ddyfais yn ffaith llwybro, mae cyflwr wedi'i osod yn ffaith diogelwch, ac nid yw cownter sy'n codi ar y ddyfais yn y naill na'r llall. Pan fydd pobl yn dweud bod y twnnel i fyny oherwydd bod y rhyngwyneb yn dangos UP, maent yn disgrifio baneri cyswllt dyfais rithwir nad oes ganddi gymar ei hun. Mae'r faner yn golygu bod y ddyfais wedi'i chreu a'i galluogi, dim mwy.

Un ffin arall: nid yw'r dynodwr rhyngwyneb yn enw. Nid yw dwy ddyfais ag enwau tebyg a dynodwyr gwahanol yn rhannu cyflwr, ac mae cysylltiad wedi'i ffurfweddu â'r dynodwr anghywir yn gosod cyflwr na fydd unrhyw lwybr byth yn ei ddefnyddio.

Adeiladwch un yn y drefn gywir

Dechreuwch gyda'r ddyfais allanol a rhif y byddwch hefyd yn ei roi yn ffurfwedd y daemon. Mae'r enghraifft yn defnyddio eth0 fel y rhyngwyneb allanol a 42 fel y dynodwr, cyfeiriadau y dylech eu disodli gyda'ch rhai eich hun.

Codwch y ddyfais, yna cadarnhewch y dynodwr a gofnodwyd gan y cnewyllyn cyn cyffwrdd â ffurfwedd VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Nawr ffurfweddwch y cysylltiad yn strongSwan gyda'r un dynodwr, gan fod yn rhaid i'r daemon osod polisïau a chyflyrau sy'n cyfeirio ato. Gosodwch ddewisiwyr traffig lleol ac anghysbell i'r amrediad rydych yn bwriadu ei lwybro, yna llwybrwch yr amrediad hwnnw i mewn i'r ddyfais. Mae'n rhaid i ffurfwedd y daemon a'r tabl llwybrau gytuno ar y dynodwr a'r cyrchfannau ill dau, ac nid yw'r naill yn cyflenwi'r llall.

Cadwch IKE ac ESP allan o lwybr y twnnel

Mae llwybr diofyn sy'n pwyntio i mewn i'r ddyfais XFRM yn dal y pecynnau hincapsiwleiddiedig yn ogystal â'r traffig maent yn ei gario. Y canlyniad yw dolen: mae'r porth yn ceisio anfon ei ESP ei hun drwy'r twnnel y dylai ESP ei adeiladu.

Yr ateb yw llwybr mwy penodol ar gyfer cyfeiriad allanol y cymar drwy'r rhyngwyneb ffisegol, sy'n trechu'r llwybr diofyn oherwydd ei fod yn cyfateb mwy o fotiau. Mae llwybro yn seiliedig ar farciau yn gwneud yr un gwaith pan fydd sawl twnnel yn rhannu tabl, ac mae strongSwan yn dogfennu'r ddau ddull ar gyfer gosodiadau sy'n seiliedig ar lwybrau.

Beth bynnag a ddewiswch, gwiriwch fod y pecyn allanol yn gadael heb ei hincapsiwleiddio. Gwiriad cyflym yw pingio cyfeiriad allanol y cymar ar ôl i'r twnnel godi; os yw hynny'n methu tra mae'r rhyngwyneb i fyny, amheuwch ddalfa yn hytrach na chyrhaeddadwyedd. Mae'r un rhesymeg yn berthnasol i borth IKE, oherwydd na ddylid llwybro traffig UDP y daemon ei hun i'r ddyfais y mae'n ceisio ei sefydlu.

Gwiriwch y cownteri mewn dau le cyn beio amgryptio

Mae cownteri rhyngwyneb a chownteri cyflwr yn mesur gwahanol gamau. Mae pecynnau a lwybrir i'r ddyfais yn cynyddu'r ddyfais hyd yn oed pan nad oes cyflwr yn cyfateb, tra mai dim ond ar gyfer traffig a hincapsiwleiddiwyd mewn gwirionedd y mae cownteri cyflwr yn symud.

Darllenwch y ddau, yna darllenwch olwg y daemon ar y gymdeithas blentyn:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Mae cownteri dyfais yn codi gydag allbwn cyflwr gwag yn golygu bod llwybro yn gweithio ac nad yw'r polisi'n cyfateb, fel arfer camgymeriad dynodwr neu ddewiswr. Mae cownteri cyflwr yn codi tra nad yw'r ochr bell yn adrodd dim yn golygu bod y pecynnau'n gadael ond nad ydynt yn cyrraedd neu'n methu dilysu, sy'n pwyntio at y llwybr neu ffurfwedd y cymar. Mae plentyn a restrir â thraffig sero yn broblem dewiswr ar un pen, nid yn sifr wedi torri.

Penderfynwch pwy sy'n gosod y llwybrau

Dau berchennog ar un tabl llwybrau yw'r ffynhonnell arferol o fflapio. Os yw'r daemon yn gosod llwybrau'n awtomatig, rhaid i'ch rheolwr rhwydwaith beidio â gosod llwybr diofyn drwy'r un ddyfais hefyd, a bydd llwybr â llaw a ychwanegir gan sgript gychwyn yn cael ei dynnu y tro nesaf y bydd y daemon yn ailffurfweddu.

Dewiswch un perchennog a'i ysgrifennu i lawr. Pan fydd y daemon yn berchen ar lwybrau, cadwch y sgript gychwyn allan o'r tabl a gadewch i ddiffiniad y cysylltiad ddisgrifio'r dewiswyr traffig. Pan fydd y rheolwr rhwydwaith yn berchen arnynt, analluogwch y gosodiad awtomatig a derbyn na fydd y daemon yn trwsio llwybr coll ar ailgysylltu.

Mae rheolau anfon ymlaen a mur tan yn benderfyniad ar wahân ar ben hynny, oherwydd mae porth sy'n pasio traffig gwesteiwyr eraill angen y ddau. Mae IPsec sy'n seiliedig ar lwybrau yn gwneud y traffig hwnnw'n hawdd ei fynegi gydag offer llwybro cyffredin; nid yw'n gwneud haen polisi yn ddewisol.