Pam nad yw polisi diogelwch IPsec yn gofnod yn y tabl llwybrau

Pingiwch 10.20.0.5 drwy’r twnnel ac ni ddaw dim yn ôl, tra bod y tabl llwybrau yn mynnu bod yr is-rwydwaith honno yn gyrraeddadwy. Mae llwybro ac IPsec yn ateb cwestiynau gwahanol, a dim ond un ohonynt sydd ynghylch cyrraeddadwyedd. Mae’r chwiliad ymlaen yn dewis llwybr, yna mae’r gronfa ddata polisi diogelwch yn penderfynu a ddylid amddiffyn y llwybr hwnnw, ei adael fel y mae neu ei wrthod. Pan fo’r ddau yn anghytuno, mae’r pecyn yn marw’n dawel, felly darllenwch hwy yn y drefn honno.

Dechreuwch gyda’r chwiliad, nid y tabl

Gofynnwch i’r cnewyllyn beth a wnâi mewn gwirionedd: mae ip route get 10.20.0.5 yn argraffu’r llwybr a ddewiswyd, y rhyngwyneb allan a’r cyfeiriad ffynhonnell a ddefnyddiai. Gall rhagddodiad, rheol bolisi, marc neu ffynhonnell a ffefrir newid yr ateb hwnnw, a dyna pam mae’r chwiliad byw yn well na darllen y tabl â llygad.

Profwch gyrchfan o fewn yr ystod warchodedig, nid cyfeiriad y porth. Nid yw cyrraedd porth yr ochr bell yn profi dim ond bod rhyw lwybr yn bodoli; nid yw’n dweud dim am yr is-rwydwaith sydd ei hangen arnoch mewn gwirionedd. Yna cadarnhewch mai’r rhyngwyneb a ddewiswyd gan y chwiliad yw’r un rydych yn disgwyl i’r twnnel ei ddefnyddio.

Cydweddwch y detholwyr ar y ddwy ochr

Mae gan y gronfa ddata polisi ei chofnodion ei hun, ac mae pob un yn enwi cyfeiriad, ffynhonnell, cyrchfan a phrotocol, yna’n nodi beth ddylai ddigwydd i becynnau sy’n cyfateb. Defnyddiwch ip xfrm policy i’w rhestru; mae’r baneri’n dangos a yw’r weithred yn amddiffyn, yn osgoi neu’n rhwystro. Ni fydd polisi y mae ei detholwyr yn lletach neu’n gulach na’ch llif prawf yn cyfateb iddo, ac mae’r pecyn yn gadael heb ei amddiffyn. Dyna’r methiant rydych yn chwilio amdano, nid llwybr ar goll.

Cymharwch y gwerthoedd gwirioneddol: ffynhonnell, cyrchfan, protocol a phorthladdoedd. Os datrysodd y chwiliad un pâr o gyfeiriadau tra bod cofnod y polisi yn cwmpasu un arall, mae’r ddwy olwg yn disgrifio traffig gwahanol. Ailredwch y ddau gyda’r un tuple cyn dod i gasgliad, neu byddwch yn golygu polisi nad oedd erioed yn y llwybr.

Nid yw cyfatebiaeth polisi yn gyflwr gosodedig

Mae polisi sy’n cyfateb yn dweud yn unig bod rhaid amddiffyn y pecyn; mae’r cnewyllyn yn dal i fod angen cysylltiad diogelwch i wneud yr amddiffyniad. Rhedwch eu rhestru gyda ip xfrm state, neu gyda swanctl --list-sas pan fo strongSwan yn trafod, a darllenwch y detholwyr a’r cownteri ar bob cofnod.

Pan fo polisi’n cyfateb ac nad oes cysylltiad yn cwmpasu’r un detholwyr, mae’r pecyn yn cael ei ollwng yn hytrach na’i anfon mewn testun clir. Dyna’r gollwng i chwilio amdano pan fo’r twnnel i fyny ond un is-rwydwaith yn methu. Mae’r cownteri’n dweud y gweddill: cysylltiad nad yw byth yn cynyddu ni chafodd ei ddewis byth, tra bod un sy’n cynyddu ac yn gorffen mewn gollwng yn pwyntio at yr ochr bell. Mae trwsio detholwyr ac ailallweddu yn wahanol atgyweiriadau, felly penderfynwch pa un sydd ei angen arnoch cyn cyffwrdd â’r ffurfweddiad.

Beth mae twnnel sy’n seiliedig ar lwybr yn dal i’w fod angen

Mae rhyngwyneb XFRM yn gwneud i’r twnnel edrych fel dyfais y gallwch lwybro iddi, sy’n ddefnyddiol iawn. Nid yw’n tynnu’r polisi a’r cyflwr sy’n penderfynu beth sy’n digwydd ar ôl i’r pecyn gyrraedd yno. Mae’r llwybr yn cyfrannu naid nesaf a dim mwy.

Os yw’r ddyfais yn bodoli ac mae’r llwybr yn pwyntio iddi tra nad oes cysylltiad yn cyfateb i’r detholwyr mewnol, mae’r pecyn yn cael ei daflu, ac nid yw unrhyw faint o olygu llwybrau yn cynhyrchu allweddi na detholwyr. Gwiriwch y rhyngwyneb gyda’r un ffynhonnell a chyrchfan ag y gwnaethoch lwybro, yna cymharwch hynny â’r rhestr cyflwr.

Setlwch berchnogaeth cyn golygu unrhyw beth

Mae wal dân y gwesteiwr yn ychwanegu trydedd penderfyniad nad yw’r un o’r ddwy gronfa ddata yn gwybod amdani. Gall llwybr cywir ynghyd â pholisi sy’n cyfateb ynghyd â chysylltiad gosodedig ddal i orffen mewn pecyn a ollyngwyd, ac mae’r cymhwysiad yn adrodd dim ond y terfyn amser. Cadarnhewch fod y wal dân yn caniatáu’r traffig gwarchodedig cyn i chi feio IPsec. Mae dal ar ddyfais y twnnel ac ar y rhyngwyneb corfforol yn dangos pa ochr o’r amgryptio y diflannodd y pecyn.

Mae perchnogaeth y ffurfweddiad yn penderfynu a fydd eich trwsiad yn goroesi ailgychwyn. Gall un gydran osod cyflwr tra bod un arall yn rheoli llwybrau, ac mae golygiad â llaw i’r ail yn cael ei drosysgrifennu y tro nesaf y bydd y twnnel yn codi. Newidiwch y ffurfweddiad sy’n berchen, yna darllenwch y ddwy olwg eto; mae RFC 4301 yn cadw’r ddwy gronfa ddata ar wahân pan fydd rhaid i chi esbonio’r rhaniad i rywun arall.