Llwybr diofyn XFRM wedi llyncu IKE ac ESP: cadwch y llwybr allanol

Mae'r traffig wedi'i ddiogelu, mae'r tiwnel i fyny, ac yna mae'n marw wrth yr ail-allweddiad nesaf. Roedd llwybr diofyn drwy'r rhyngwyneb XFRM yn disgrifio'r traffig yr oeddech am ei ddiogelu. Llyncodd hefyd y pecynnau sydd eu hangen i barhau i'w ddiogelu.

Nid yw'r ddau gyreiddiad dan sylw yn gyfnewidiol. Rhaid i'r llwybro ddweud hynny'n blaen.

I ble mae chwiliad y peer yn mynd mewn gwirionedd

Cofnodwch y rheolau gweithredol, y tabl sy'n dal y llwybr XFRM a chyfeiriad cyhoeddus y peer. Yna edrychwch ar y llwybr y byddai'r cysylltiad allanol yn ei gymryd gyda'i wir ffynhonnell a marc. Nid yw cyrchfan gyffredinol yn dweud unrhyw beth wrthych am y llwybr rheoli hwnnw. Dim ond y wir ffynhonnell a'r marc sy'n rhoi ateb defnyddiol.

Mae cysylltiad cychwynnol llwyddiannus yn profi ychydig hefyd. Mae'r methiant yn aml yn ymddangos ar ôl i osod llwybr newid yr ateb. Mae'r cychwyn yn llwyddo, yna nid yw'r adnewyddiad cyntaf yn llwyddo.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Os yw'r chwiliad am y peer yn datrys i'r rhyngwyneb XFRM, mae'r pecynnau allanol yn cael eu llwybro i'r tiwnel maen nhw'n ei adeiladu. Dyna'r ddolen, yn weladwy mewn un gorchymyn.

Opsiynau eithrio ar borth modern

Mae dogfennaeth strongSwan ar gyfer VPN sy'n seiliedig ar lwybro yn nodi dau ateb ymarferol. Mae un yn marcio IKE ac ESP fel nad yw'r rheol sy'n pwyntio at y tabl XFRM yn cyfateb iddynt. Mae'r llall yn gadael llwybr peer neu eithriad y gall y chwiliad ei gyrraedd o hyd.

Cymerwch yr un y gall eich set rheolau ei mynegi heb sgil-effeithiau. Mae marc yn lân pan fo gweddill y stac eisoes yn defnyddio marciau. Mae'n berygl pan fo'r un mwgwd yn golygu rhywbeth arall mewn rheol arall. Mae'r ddau fath o becyn yn dal angen y driniaeth.

Mae marcio IKE yn unig yn gadael y pecynnau data ar y llwybr a gafwyd. Mae hynny'n cynhyrchu tiwnel sy'n gwneud handshake ac yna'n cario dim.

Mae'r marc yn un darn o fwyto yn fwmark y pecyn nad oes unrhyw beth arall ar y porth yn ei hawlio: 0x1 gyda mwgwd 0x1 yw'r dewis arferol, ac mae'n rhaid ei osod mewn dau le er mwyn i'r eithriad weithio. Mae Charon ei angen ar soced IKE, ac mae gosodiadau marc mewnol ac allanol y cysylltiad plentyn angen yr un gwerth fel bod pecynnau wedi'u hamgáu yn gadael wedi'u marcio hefyd. Mae mwgwd 0x1 yn hytrach na 0xffffffff yn gadael y darnau sy'n weddill yn rhydd, sy'n bwysig pan fo is-system arall eisoes yn marcio pecynnau ar yr un gwesteiwr. Gyda'r ddau wedi'u gosod, mae'r rheol yn cael ei hysgrifennu fel eithriad, felly mae pecynnau wedi'u marcio yn sgipio'r tabl sy'n dal y llwybr XFRM ac yn disgyn i'r prif dabl:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Yna darllenwch yr ateb gyda'r marc wedi'i osod. Heb hynny rydych yn archwilio'r llwybr y mae traffig wedi'i ddiogelu yn ei gymryd, sef gwrthwyneb y cwestiwn y mae'r adran hon yn ei ofyn.

Beth y mae gosod awtomatig yn ei dybied am yr adeiladu

Gosodiad awtomatig llwybr ar gyfer rhyngwyneb XFRM yn dibynnu ar fersiwn strongSwan a'i gyfluniad. Rhaid i ID y rhyngwyneb, y polisi sydd wedi'i osod a'r cysylltiad gyfeirio at y gwrthrychau a fwriadwyd. Mae anodeb yn ymddangos fel llwybr sy'n pwyntio'n dawel at rywle gwirioneddol.

Copïo rhif tabl neu fwgwd marc o borth arall yw'r ffordd y mae gwrthdrawiadau'n dechrau. Gwiriwch beth sy'n ei ddefnyddio'n barod. Mae gwrthdrawiad yn effeithio ar draffig ymhell y tu hwnt i'r tiwnel yr oeddech am ei newid, ac anaml y mae'r symptom yn pwyntio at y copi.

Mae newidiadau cyfeiriad y peer yn perthyn i'r dyluniad. Nid yw llwybr gwesteiwr ar gyfer cyfeiriad ddoe yn gynllun adfer pwynt terfyn, tra bod marc yn goroesi'r newid hwnnw.

Gwyliwch y cyntaf o'r adnewyddiadau

Gwiriwch y llwybr allanol ar ôl i'r llwybrau wedi'u diogelu gael eu gosod, nid cyn hynny. Yna gwyliwch yr adnewyddiad nesaf ac un cyfnewidiad cymhwysiad. Mae'r methiant fel arfer yn ymddangos yn y trosglwyddiad hwnnw yn hytrach nag wrth gychwyn.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Mae tynnu'r llwybr diofyn wedi'i ddiogelu dros dro fel arfer yn adfer cysylltedd. Mae'r canlyniad hwnnw'n ddiagnostig, nid yn derfynol.

Y nod yw rhaniad sefydlog rhwng traffig mewnol a'r pecynnau allanol sy'n ei gario. Ysgrifennwch y mecanwaith a ddewiswyd a'i dabl neu farc yng nodiadau'r porth. Fel arall bydd y person nesaf sy'n cyffwrdd â'r rheolau yn ailgyflwyno'r ddolen.