Η πολιτική IPsec καταπίνει την τοπική σας κίνηση: πώς να το αναγνωρίσετε

Ο εκτυπωτής στο γραφείο σταματά να απαντά τη στιγμή που ανεβαίνει το τούνελ, και τίποτα στη διαμόρφωση του τούνελ δεν αναφέρει τον εκτυπωτή. Αυτό που συνήθως έχει συμβεί είναι ότι ένα προστατευμένο εύρος γράφτηκε αρκετά πλατύ ώστε να τον περιλαμβάνει, οπότε το μηχάνημα τώρα προσπαθεί να κρυπτογραφήσει κίνηση που θα έπρεπε να μείνει στο τοπικό τμήμα. Η ανάγνωση της εγκατεστημένης πολιτικής εξηγεί τη σύλληψη· ο περιορισμός της στο σωστό σημείο κρατά την απομακρυσμένη κίνηση προστατευμένη. Η διαδρομή από το αποτυχημένο αίτημα στην ταιριαστή πολιτική παίρνει λίγα λεπτά.

Ακολουθήστε τη ροή πριν αλλάξετε επιλογέα

Ξεκινήστε από το αποτυχημένο αίτημα και σημειώστε τέσσερις τιμές: τη διεύθυνση προέλευσης που χρησιμοποιεί το μηχάνημα, τον ακριβή προορισμό, τη διαδρομή που επιλέγει ο πυρήνας και την πολιτική που ταιριάζει σε αυτό το ζεύγος.

Αυτά τα τέσσερα γεγονότα καθορίζουν αν η σύλληψη είναι σκόπιμη ή τυχαία. Ένας προορισμός που πέφτει μέσα στον απομακρυσμένο επιλογέα προστατεύεται εκ σχεδιασμού, ακόμα κι αν ο σχεδιασμός ήταν λάθος. Ένας προορισμός έξω από αυτόν που συλλαμβάνεται παρόλα αυτά σημαίνει ότι ταιριάζει κάτι άλλο, και η αλλαγή του επιλογέα δεν θα βοηθήσει. Και οι δύο περιπτώσεις είναι συχνές, και μία εντολή τις ξεχωρίζει.

Κάντε το πριν επεξεργαστείτε οτιδήποτε, γιατί η ενδιαφέρουσα περίπτωση είναι το τοπικό υποδίκτυο που επικαλύπτεται με ένα ιδιωτικό εύρος που προστατεύει η σύνδεση. Γνωστά προθέματα όπως το 192.168.0.0/16 εμφανίζονται σε πολλά δίκτυα, και ένας επιλογέας γραμμένος για ένα από αυτά μπορεί ήσυχα να καλύψει το δικό σας.

Τρία είδη τοπικού που συμπεριφέρονται διαφορετικά

Ένας προορισμός που έχει εκχωρηθεί σε αυτόν τον κεντρικό υπολογιστή, ένας προορισμός στον ίδιο σύνδεσμο και ένας προορισμός πίσω από άλλη διεπαφή είναι τρεις διαφορετικές περιπτώσεις. Ο πυρήνας χειρίζεται καθεμία διαφορετικά όταν αποφασίζει αν η κίνηση χρειάζεται προστασία.

Η κίνηση που παράγει η ίδια η πύλη δεν είναι επίσης το ίδιο με την κίνηση που προωθείται από έναν πελάτη. Μια πολιτική που φαίνεται σωστή για προωθούμενη κίνηση μπορεί να συλλάβει την ίδια τη συνεδρία διαχείρισης της πύλης, και έτσι ένας διαχειριστής χάνει την πρόσβαση ενώ επισκευάζει το τούνελ.

Η χρήσιμη συνήθεια είναι να ονομάσετε την περίπτωση δυνατά: έρχεται αυτό το πακέτο από εμένα, πηγαίνει στον σύνδεσμό μου ή περνά μέσα από εμένα; Κάθε απάντηση δείχνει διαφορετικό σημείο για περιορισμό. Το να γράψετε την περίπτωση εμποδίζει επίσης το επόμενο άτομο να ξανακάνει την ίδια δουλειά.

Όταν το προστατευμένο εύρος είναι ολόκληρος ένας ιδιωτικός χώρος, και οι τρεις περιπτώσεις μπορούν να πέσουν μέσα του ταυτόχρονα, και το σύμπτωμα γίνεται ένα μηχάνημα που δεν φτάνει πουθενά εκτός από το τελικό σημείο του τούνελ.

Διαβάστε την εγκατεστημένη πολιτική, όχι το αρχείο

Τα αρχεία διαμόρφωσης περιγράφουν την πρόθεση· ο πυρήνας κρατά τις πολιτικές που ταιριάζουν πραγματικά. Δείξτε και τα δύο και αντιμετωπίστε μια ασυμφωνία ως το πρώτο εύρημα.

Αυτές οι εντολές δείχνουν τη διαδρομή που επιλέχθηκε για τον προορισμό και τις εγκατεστημένες πολιτικές σε κάθε κατεύθυνση:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Η διαδρομή σας λέει ποια διεπαφή θα χρησιμοποιούσε το πακέτο. Η λίστα πολιτικών σας λέει αν στη συνέχεια εφαρμόζεται ένα πρότυπο σε αυτό το πακέτο, και η λίστα συνδέσεων δείχνει ποιους επιλογείς πιστεύει ο δαίμονας ότι έχει εγκαταστήσει. Αν ο προορισμός εμφανίζεται σε έναν απομακρυσμένο επιλογέα, βρήκατε τη σύλληψη χωρίς να μαντέψετε.

Περιορίστε τον επιλογέα ή παρακάμψτε τον προορισμό

Υπάρχουν δύο υποστηριζόμενες επισκευές και απαντούν σε διαφορετικές ερωτήσεις. Ο περιορισμός του επιλογέα λέει ότι αυτή η σύνδεση προστατεύει μόνο μικρότερο εύρος, το οποίο είναι σωστό όταν το ευρύτερο εύρος ήταν λάθος. Η προσθήκη μιας παράκαμψης λέει ότι αυτός ο συγκεκριμένος προορισμός δεν πρέπει ποτέ να προστατεύεται, το οποίο είναι σωστό όταν το προστατευμένο εύρος είναι πραγματικά πλατύ και ένας προορισμός είναι η εξαίρεση.

Διαλέξτε την πρώτη όταν μπορείτε, γιατί ένας μικρότερος επιλογέας είναι πιο εύκολο να συλλογιστείτε και εμφανίζεται στον ορισμό της σύνδεσης. Διαλέξτε τη δεύτερη όταν το πλατύ εύρος είναι σκόπιμο και η εξαίρεση είναι ένας μεμονωμένος κεντρικός υπολογιστής ή υποδίκτυο που μπορείτε να ονομάσετε.

Και οι δύο ανήκουν στη διαμόρφωση που κατέχει τη σύνδεση. Ένας κανόνας χρόνου εκτέλεσης που προστέθηκε με το χέρι εξαφανίζεται στην επόμενη επανασύνδεση, και η βλάβη επιστρέφει σε μια στιγμή που κανείς δεν θυμάται την παράκαμψη.

Εξαιρέσεις ασφαλείς σε επανεγκατάσταση

Μετά την αλλαγή, επαναλάβετε το ίδιο αβλαβές αίτημα και κοιτάξτε τους ίδιους μετρητές. Ο τοπικός προορισμός θα έπρεπε να απαντήσει, και ο επιδιωκόμενος απομακρυσμένος προορισμός θα έπρεπε να εξακολουθεί να δείχνει κρυπτογραφημένη κίνηση.

Αυτοί οι δύο έλεγχοι επιβεβαιώνουν ότι η εξαίρεση επιβίωσε και η προστασία όχι:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Στη συνέχεια αποσυνδέστε και επανασυνδέστε το τούνελ σκόπιμα, και επαναλάβετε και τα δύο. Μια εξαίρεση που λειτουργεί πριν από την επανασύνδεση και αποτυγχάνει μετά εφαρμόστηκε στο λάθος επίπεδο, και αυτός είναι ο πιο συνηθισμένος τρόπος με τον οποίο επιστρέφει αυτό το πρόβλημα.