Modd trap strongSwan: pam mae'r twnnel IPsec yn aros am draffig

Nid yw twnnel IPsec segur ar alwad yn dangos CHILD SA nes bod pecyn yn cyfateb i'w bolisi trap. Darllenwch y cyflwr, gwiriwch y sbardun, a gwybod pryd mae start yn gweddu.

Nid yw CHILD SA yn ymddangos yn allbwn y statws, mae'r twnnel yn edrych yn farw, ac yna mae ping i'r isrwyd yn ei godi. Mewn setup IPsec ar alwad, y dilyniant hwn yw'r cynllun, nid nam. Mae polisi trap yn gosod detholydd ac yn aros, a'r pecyn cyntaf sy'n cyfateb iddo sy'n dechrau IKE a thrafodaeth CHILD SA.

Rhan o'r dryswch yw geirfa: defnyddir “up” ar gyfer dau gyflwr gwahanol. Mae'r ffurfweddiad wedi'i lwytho ac mae polisi'r cnewyllyn yn bodoli, ond nid yw'r gymdeithas ddata. Bydd monitor sy'n cyfrif SA gweithredol yn unig yn adrodd safle iach fel un i lawr cyhyd ag na fydd neb yn anfon traffig ato.

Nid oes gan dwnnel segur ar alwad CHILD SA i'w ddangos

Nid yw cofnod trap yn dilysu unrhyw beth ynddo'i hun. Mae'n gofyn i'r cnewyllyn ddal polisi ar gyfer y traffig a ddewiswyd ac i godi acquisition pan fydd pecyn angen y polisi hwnnw. Mae'r daemon yn derbyn yr acquisition, yn ei baru â'r diffiniad child, ac yn trafod oddi yno. Hyd at y pwynt hwnnw nid oes IKE SA i'w ddangos chwaith, a dyna pam y gall y ddwy restr fod yn wag ar unwaith.

Y dilyniant hwnnw sy'n gwneud y logiau'n ddarllenadwy. Daw'r acquisition yn gyntaf, yna IKE_SA_INIT ac IKE_AUTH, yna'r CHILD SA. Os yw'r log yn gorffen yn syth ar ôl yr acquisition, gweithiodd y sbardun. Methodd y drafodaeth, a'r cwestiwn nesaf yw am gymwysterau, cynigion neu gyrhaeddiad, nid am y trap.

Gyda backend cnewyllyn Linux gallwch weld y polisi cyn bod unrhyw SA yn bodoli. Rhedeg ip xfrm policy a chwilio am y detholydd â chyfeiriad out a thempled yn pwyntio at y cysylltiad. Y cofnod hwnnw yw'r cyflwr ar alwad, a'i bresenoldeb yw'r peth cyntaf i'w gadarnhau.

Mae start_action yn penderfynu a fydd unrhyw beth yn aros o gwbl

Mae pob child yn swanctl.conf yn cario start_action. start yn cychwyn pan lwythir y ffurfweddiad, trap yn gosod y polisi ac yn aros, ac none yn gadael y cychwyn i rywbeth arall. Dim ond trap sy'n cynhyrchu'r ymddygiad “ping ac mae'n codi” a ddisgrifiwyd uchod.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Mae'r ddau ddetholydd traffig yn diffinio beth sy'n cyfrif fel diddorol, ac nid yw pecyn o waith allan o'r rhagddodiaid hynny'n tanio'r trap; mae'n llwybro fel arfer. Mae ehangu'r detholwyr i wneud y sbardun yn fwy awyddus hefyd yn ehangu'r cwmpas y mae'r twnnel yn honni ei amddiffyn, felly deilliwch nhw o draffig yr ydych chi wir am ei amgryptio.

Mae cyfeirlyfr swanctl.conf yn rhestru'r gwerthoedd a dderbynnir, ynghyd â'r gweithredoedd close a DPD ar wahân sy'n llywodraethu beth sy'n digwydd unwaith y bydd yr SA yn bodoli.

Darganfyddwch a daniodd y sbardun o gwbl

Dechreuwch gyda swanctl --list-conns a chadarnhau bod y child wedi'i lwytho gyda'r weithred yr oeddech yn bwriadu. Yna anfonwch un pecyn o waith y tu mewn i local_ts i gyfeiriad y tu mewn i remote_ts a gwylio swanctl --list-sas. Os nad yw'r allbwn yn newid, ni chyrhaeddodd unrhyw acquisition y daemon.

Dau reswm cyffredin dros trap distaw: cafodd y pecyn source-NAT cyn iddo daro'r polisi ac nid yw'n cyfateb i local_ts mwyach, neu ni lwythwyd y cysylltiad o gwbl oherwydd gwall cystrawen neu gymwysterau. Rhedeg swanctl --load-all eto a darllen ei allbwn cyn cyffwrdd â detholwyr. Nid yw cysylltiad na lwythwyd yn gosod unrhyw bolisi, felly nid oes unrhyw beth i draffig ei danio.

Mae cyfeiriad yn bwysig hefyd: nid yw trap a osodwyd ar gyfer traffig allan yn cychwyn ar becyn i mewn. Os yw'r ochr bell i fod i godi'r twnnel, mae angen ei trap ei hun, neu mae angen start.

Nid yw aros am y pecyn cyntaf bob amser yn gyfnewid cywir

Mae sesiynau rhyngweithiol yn sylwi ar gost y setup. Mae'r cais cyntaf yn talu am y gyfnewid IKE a thrafodaeth CHILD, a gall cleient â therm ges dynnu'n ôl cyn bod yr SA yn bodoli. Mae start rhagweithiol yn dileu'r oedi pecyn-cyntaf hwnnw. Ond mae'n cadw twnnel i fyny ar gyfer traffig na fydd byth yn cyrraedd.

Mae tri ffaith yn penderfynu'r dewis: pa mor aml y defnyddir y llwybr, a oes gan y cais cyntaf derfyn amser tynn, ac a yw'r peer yn gyrraeddadwy wrth gychwyn. Mae traffig swp achlysurol a peer a all fod all-lein wrth gychwyn ill dau o blaid trap. Mae cleient sy'n sensitif i hwyrni a peer sy'n gyrraeddadwy bob amser o blaid start. Os gall y ddwy ochr gychwyn, cytunwch pwy sy'n berchen ar y sbardun rhag cael trafodaethau dyblyg.

Nid yw polisi a osodwyd yn warant sy'n gwrthsefyll gollyngiadau chwaith. Os yw'r gofyniad yn fail-closed, rhaid i'r wal dân ollwng traffig heb SA, ac mae'r rheol honno'n byw y tu allan i'r diffiniad child.

Cofnodwch y tair llinell sy'n diweddu'r ddadl nesaf

Ysgrifennwch y detholwyr, y weithred gychwyn, ac allbwn y gorchymyn sy'n dangos y polisi'n bresennol heb SA. Mae'r tair llinell hynny'n gwahanu “ar alwad ac yn segur” oddi wrth “ddim yn llwytho” y tro nesaf y bydd rhywun yn adrodd bod y twnnel i lawr. Maen nhw'n costio munud i'w cofnodi. Hebddyn nhw mae'r un ymchwiliad yn ailgychwyn o sero.

Profwch o waith sydd wir y tu mewn i'r detholydd. Mae ping o'r llwybrydd ei hun yn aml yn dilyn llwybr gwahanol ac yn profi dim am y polisi sy'n amddiffyn yr isrwyd y tu ôl iddo.

Erthyglau cysylltiedig