strongSwan i AWS Site-to-Site: pam nad yw’r Child SA yn dewis dim

Gall twnnel IKE fod yn weithredol tra bo’r gymdeithas blentyn yn eithrio’ch is-rwydweithiau. Cymharwch CIDR lleol ac anghysbell AWS â leftsubnet a rightsubnet yn gyntaf.

Mae statws y consol yn dweud up, mae strongSwan yn adrodd cymdeithas IKE sefydledig, ac eto nid yw’r pecynnau’n cyrraedd. Y peth nesaf i’w gymharu yw nid yr allwedd a rennir ymlaen llaw, ond y pâr o ragddodiadau y mae pob ochr yn credu bod y twnnel yn eu hamddiffyn. Ewch drwy’r gwiriadau isod yn eu trefn, oherwydd y ddau gyntaf sy’n penderfynu a all y twnnel gludo’ch traffig o gwbl.

Cyfieithwch enwau AWS i dermau strongSwan

Mae AWS yn disgrifio’r cysylltiad o ochr y cwsmer: mae cyfeiriad porth y cwsmer a’r CIDR lleol yn perthyn i chi, a’r CIDR anghysbell yn perthyn i’r VPC. Mae strongSwan yn galw’r ddau ben yn left ac yn right, gyda’ch rhagddodiad yn leftsubnet a rhagddodiad y VPC yn rightsubnet. Mae gwrthdroi un pâr yn cynhyrchu twnnel sy’n trafod ac yn dewis y traffig anghywir.

Lawrlwythwch y ffurfweddiad y mae AWS yn ei gynhyrchu ar gyfer y cysylltiad a’i drin fel cyfeiriad ar gyfer y cysylltiad penodol hwnnw, gan gynnwys cyfeiriadau a rhagddodiadau’r twnnel. Os gadewch y ddau faes CIDR yn wag wrth greu, mae’r gwasanaeth yn defnyddio rhagosodiad 0.0.0.0/0 ar bob ochr. Yna ni fydd llwybrydd a ffurfweddwyd â rhagddodiad cul byth yn cyfateb iddo, felly naill ai llenwch y meysydd neu ehangu’r detholydd yn fwriadol.

Mae annghydweddiad yma yn edrych fel methiant llwybro ac nid yw.

Pinwch y cyfeiriad y mae AWS yn ei weld mewn gwirionedd

Gall llwybrydd y tu ôl i NAT ddeillio IKE o ryngwyneb na ddysgodd yr ochr bell amdano erioed. Rhaid i gyfeiriad y porth a gofnodwyd yn AWS fod yr un y mae AWS yn ei weld ar y wifren, a rhaid pinio’r llwybrydd i’r un cyfeiriad lleol yn hytrach na dilyn ei lwybr rhagosodedig.

conn %default
    local_addrs = 203.0.113.10

Yn strongSwan, mae local_addrs yn dewis y cyfeiriad ffynhonnell ar gyfer IKE, ac mae ffurfweddiadau OpenSwan hŷn yn sillafu’r un syniad fel left. Pwyntiwch ef at y rhyngwyneb sy’n dal y cyfeiriad cyhoeddus, yna gwiriwch ar y ddyfais NAT ei hun fod UDP 500 a 4500 yn cyrraedd y gwesteiwr hwnnw, oherwydd mae rheol sydd ar ôl o lwybrydd cynharach yn eu gollwng yn dawel. Mae pâr detholydd cywir â’r cyfeiriad ffynhonnell anghywir yn methu o hyd, a bydd y log yn beio’r cynnig. Dyna pam mae’r cyfeiriad ffynhonnell yn haeddu ei wiriad ei hun.

Cadarnhewch y rheol anfon ymlaen yn hytrach na’i thybio, oherwydd mae rheol a oedd yn gywir ar gyfer y llwybrydd blaenorol yn aml yn aros.

Triniwch gam 1 a cham 2 ar wahân

Mae AWS yn dangos opsiynau IKE ac ESP fel rhestrau ar wahân. Nid yw swît IKE y mae’r ddwy ochr yn ei derbyn yn dweud dim am y cynnig ESP, oherwydd mae’r ddwy restr yn annibynnol. Darllenwch y ddwy o’r ffurfweddiad a gynhyrchwyd a’u cymharu un ar y tro.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Nid yw cystrawen yn teithio rhwng gweithrediadau. Mae pâr sy’n gweithio yn OpenSwan, megis phase2alg=aes_gcm gyda ike=aes256-sha1;modp1024, angen ei gyfieithu i ffurf esp= ac ike= strongSwan, ac mae enwau’r algorithmau’n wahanol. Gan fod GCM yn dilysu wrth amgryptio, nid oes angen trawsnewidiad cyfanrwydd ar wahân arno, yn wahanol i swît CBC wedi’i baru â SHA. Mae llinell cam 2 a ludo o un daemon i’r llall heb ei chyfieithu yn creu gwrthodiad sy’n darllen fel annghydweddiad detholydd.

Gwiriwch y gymdeithas blentyn, nid dangosydd y twnnel

Os yw’r cysylltiad yn llwytho ond nad oes cymdeithas blentyn yn codi, naill ai gwrthodwyd y cynnig neu’r detholwyr. Os yw plentyn yn codi ac mae ei ddetholwyr yn eithrio’ch rhagddodiadau, mae pecynnau’n cael eu hidlo cyn iddynt gyrraedd y twnnel. Mae dangosydd y consol yn cwmpasu lefel IKE yn unig, felly ni all ddweud pa un o’r ddau a ddigwyddodd.

ipsec statusall

Chwiliwch am y gymdeithas ddiogelwch blentyn a darllenwch y detholwyr traffig a argraffwyd wrth ei hymyl, yna cymharwch nhw â’r rhagddodiadau o’r ffurfweddiad a gynhyrchwyd.

Profwch o westeiwr oddi mewn i’r rhagddodiad lleol i westeiwr oddi mewn i ragddodiad y VPC, a gwiriwch y llwybr dychwelyd ynghyd ag unrhyw grŵp diogelwch neu ACL rhwydwaith ar ochr AWS. Nid yw detholwyr cywir yn amddiffyn pecyn rhag cael ei ollwng yn ddiweddarach.

Pan fydd yn dal i fethu ar ôl i’r detholwyr gyfateb

Cadarnhewch fod y llwybr ar y ddwy ochr yn pwyntio at y twnnel, yna cadarnhewch nad yw’r ddyfais NAT yn ailysgrifennu traffig mewn ffordd nad yw’r polisi’n ei disgwyl. Mae twnnel sy’n seiliedig ar bolisi yn cyfateb cyfeiriadau pecynnau, felly mae cyfieithiad a gymhwysir ar ôl penderfyniad y polisi yn newid y canlyniad.

Cofnodwch un pecyn i mewn ac un pecyn allan ar bob ochr cyn newid cynnig arall.

Cofnodwch y detholwyr, cynigion cam 1 a cham 2 a’r cyfeiriad ffynhonnell yn y tocyn. Mae’r pedwar gwerth hyn yn esbonio’r rhan fwyaf o fethiannau site-to-site heb alwad.

Erthyglau cysylltiedig