IPsec-trafikvælgere: hvad de dækker, og hvad de ikke dækker

Trafikvælgere navngiver den indre trafik, som en IPsec-aftale beskytter, og parret forhandles i stedet for at blive antaget. To endepunkter kan autentificere hinanden perfekt og alligevel være uenige om, hvilke pakker der hører inden i tunnelen. Den uenighed er usynlig i forbindelsesstatus, som normalt rapporterer en sund tunnel. At læse vælgerne fra begge ender og derefter følge én destination finder den hurtigere end nogen mængde politikredigering.

Læs dem fra begge ender

Hvert endepunkt beskriver sin egen side som lokal og den anden side som fjern. Det samme par præfikser fremstår derfor ombyttet i de to konfigurationer, og det er korrekt snarere end selvmodsigende. At vende perspektivet er den første ting at gøre, når en fungerende aftale ser forkert ud på papiret. At sammenligne to filer side om side uden at bytte dem om giver en uoverensstemmelse, der ikke findes.

Værdierne er ikke altid enkelte undernet. IKEv2-vælgere kan bære adresseintervaller, protokolnumre og portintervaller, og det er sådan en politik beskytter én tjeneste i stedet for et helt netværk. En vælger, der er smallere end den tilsigtede trafik, giver en tunnel, der bærer nogle destinationer og lydløst udelukker andre.

Skriv begge sider ind i én tabel, før du ændrer noget. Øvelsen afgør normalt spørgsmålet uden at røre en konfigurationsfil.

Indsnævring er responderens afgørelse

En initiator foreslår, og respondereren kan kun acceptere en delmængde. IKEv2 tillader respondereren at indsnævre de tilbudte trafikvælgere, og det indsnævrede resultat er det, der faktisk installeres. At læse initiatorens konfiguration beskriver derfor et tilbud, ikke aftalen.

Det er derfor, et undernet, der føjes til klienten, kan give en fungerende tunnel, som stadig afviser den nye destination. Serveren indsnævrede tilbuddet til det, dens politik tillader, mens klientens fil stadig angiver det bredere interval. Kun den forhandlede tilstand viser sandheden: på Linux rapporterer ip xfrm policy og child SA-listen i strongSwans IKEv2-dokumentation hvad der blev installeret snarere end hvad der blev anmodet om. Når de to er uenige, er det responderens politik, der skal ændres.

Et afvist tilbud er et andet symptom end et indsnævret. Afvisning vises i forhandlingsloggen og efterlader slet ingen child-association.

Følg én destination fra ende til anden

Vælg en rigtig destination plus den kildeadresse, klienten ville bruge til den, og følg derefter det par gennem tre uafhængige beslutninger. Ruten vælger en vej, vælgeren afgør, om den vej er beskyttet, og firewallen afgør, om pakken er tilladt. Hver af dem kan fejle alene, og en bred vælger reparerer ingen af de andre.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Rute-forespørgslen angiver det interface og den kildeadresse, der ville bære pakken. Politiklisten viser, om der findes en matchende tunnelpolitik for det par, inklusive dens retning og niveau. SA-listen viser de forhandlede child-vælgere sammen med tællere, så en child-association med nul pakker efter forsøgt trafik er signaturen på vælgere, der udelukker det, der sendes. Tre kommandoer, tre forskellige svar, og kun én af dem forklarer et lydløst tab.

Hvis child-tællerne bevæger sig, mens applikationen stadig fejler, ligger problemet ud over tunnelen. Det flytter undersøgelsen til den fjerne værtens lytter eller firewall i stedet for til vælgerne.

Hold de to mål adskilt

At beskytte et kontorundernet og at sende hele browsing gennem en fjernudgang er forskellige krav med forskellige vælgere. En profil bygget til det ene passer sjældent til det andet, og at blande dem giver enten en lækage eller en brækket split. At udvide det beskyttede interval betyder at ændre begge endepunkter og deres videresendelsespolitik, fordi en ensidig ændring bliver et afvist tilbud. Det er den mest almindelige måde, en fungerende tunnel holder op med at virke efter en lille redigering.

Vælgere beskriver kryptografisk dækning, ruter vælger veje, og applikationer håndhæver deres egne tilladelser. En tunnel, der dækker alt, kan stadig ikke nå en tjeneste bundet til loopback, og en rute ind i tunnelen kræver stadig en vælger, der omfatter destinationen. Kontroller alle tre mod den samme testanmodning, og uoverensstemmelsen navngiver sig selv.