Επιλογείς κίνησης IPsec: τι καλύπτουν και τι δεν καλύπτουν

Οι επιλογείς κίνησης ονομάζουν την εσωτερική κίνηση που προστατεύει μια συμφωνία IPsec, και το ζεύγος διαπραγματεύεται αντί να υποτίθεται. Δύο άκρα μπορούν να επαληθεύσουν τέλεια το ένα το άλλο και παρ’ όλα αυτά να διαφωνούν για το ποια πακέτα ανήκουν μέσα στη σήραγγα. Αυτή η διαφωνία είναι αόρατη στην κατάσταση της σύνδεσης, η οποία συνήθως αναφέρει μια υγιή σήραγγα. Η ανάγνωση των επιλογέων από τα δύο άκρα και μετά η παρακολούθηση ενός προορισμού το βρίσκει γρηγορότερα από οποιαδήποτε επεξεργασία πολιτικής.

Διαβάστε τους από τα δύο άκρα

Κάθε άκρο περιγράφει τη δική του πλευρά ως τοπική και την άλλη πλευρά ως απομακρυσμένη. Το ίδιο ζεύγος προθεμάτων εμφανίζεται επομένως αντεστραμμένο στις δύο διαμορφώσεις, και αυτό είναι σωστό και όχι αντιφατικό. Η αναστροφή της οπτικής είναι το πρώτο πράγμα που πρέπει να γίνει όταν μια λειτουργική συμφωνία φαίνεται λάθος στο χαρτί. Η σύγκριση δύο αρχείων δίπλα δίπλα χωρίς αντιστροφή παράγει μια αναντιστοιχία που δεν υπάρχει.

Οι τιμές δεν είναι πάντα μεμονωμένα υποδίκτυα. Οι επιλογείς IKEv2 μπορούν να μεταφέρουν εύρη διευθύνσεων, αριθμούς πρωτοκόλλου και εύρη θυρών, και έτσι μια πολιτική προστατεύει μία υπηρεσία αντί για ολόκληρο δίκτυο. Ένας επιλογέας στενότερος από την προβλεπόμενη κίνηση παράγει μια σήραγγα που μεταφέρει μερικούς προορισμούς και αποκλείει σιωπηλά άλλους.

Γράψτε και τις δύο πλευρές σε έναν πίνακα πριν αλλάξετε οτιδήποτε. Η άσκηση συνήθως λύνει το ζήτημα χωρίς να αγγίξετε αρχείο διαμόρφωσης.

Η στένωση είναι απόφαση του ανταποκριτή

Ο εκκινητής προτείνει και ο ανταποκριτής μπορεί να δεχτεί μόνο υποσύνολο. Το IKEv2 επιτρέπει στον ανταποκριτή να στενέψει τους προσφερόμενους επιλογείς κίνησης, και το στενεμένο αποτέλεσμα είναι αυτό που εγκαθίσταται πραγματικά. Η ανάγνωση της διαμόρφωσης του εκκινητή περιγράφει επομένως μια προσφορά, όχι τη συμφωνία.

Γι’ αυτό ένα υποδίκτυο που προστίθεται στον πελάτη μπορεί να παράγει μια λειτουργική σήραγγα που εξακολουθεί να αρνείται τον νέο προορισμό. Ο διακομιστής στένεψε την προσφορά σε ό,τι επιτρέπει η πολιτική του, ενώ το αρχείο του πελάτη εξακολουθεί να αναφέρει το ευρύτερο εύρος. Μόνο η διαπραγματευμένη κατάσταση δείχνει την αλήθεια: στο Linux, το ip xfrm policy και η λίστα child SA στην τεκμηρίωση IKEv2 του strongSwan αναφέρουν τι εγκαταστάθηκε και όχι τι ζητήθηκε. Όταν τα δύο διαφωνούν, η πολιτική του ανταποκριτή είναι αυτή που πρέπει να αλλάξει.

Μια απορριφθείσα πρόταση είναι διαφορετικό σύμπτωμα από μια στενεμένη. Η απόρριψη εμφανίζεται στο αρχείο καταγραφής διαπραγμάτευσης και δεν αφήνει καθόλου σχέση child.

Ακολουθήστε έναν προορισμό από άκρη σε άκρη

Διαλέξτε έναν πραγματικό προορισμό μαζί με τη διεύθυνση προέλευσης που θα χρησιμοποιούσε ο πελάτης γι’ αυτόν και μετά ακολουθήστε το ζεύγος μέσα από τρεις ανεξάρτητες αποφάσεις. Η διαδρομή διαλέγει ένα μονοπάτι, ο επιλογέας αποφασίζει αν αυτό το μονοπάτι προστατεύεται, και το τείχος προστασίας αποφασίζει αν το πακέτο επιτρέπεται. Κάθε ένα μπορεί να αποτύχει μόνο του, και ένας ευρύς επιλογέας δεν επισκευάζει κανένα από τα άλλα.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Το ερώτημα διαδρομής ονομάζει τη διεπαφή και τη διεύθυνση προέλευσης που θα μετέφεραν το πακέτο. Η λίστα πολιτικών δείχνει αν υπάρχει αντίστοιχη πολιτική σήραγγας για αυτό το ζεύγος, μαζί με την κατεύθυνση και το επίπεδό της. Η λίστα SA δείχνει τους διαπραγματευμένους επιλογείς child μαζί με μετρητές, οπότε μια σχέση child με μηδέν πακέτα μετά από απόπειρα κίνησης είναι η υπογραφή επιλογέων που αποκλείουν αυτό που αποστέλλεται. Τρεις εντολές, τρεις διαφορετικές απαντήσεις, και μόνο μία εξηγεί μια σιωπηλή απόρριψη.

Αν οι μετρητές child κινούνται ενώ η εφαρμογή εξακολουθεί να αποτυγχάνει, το πρόβλημα βρίσκεται πέρα από τη σήραγγα. Αυτό μεταφέρει την έρευνα στον ακροατή ή στο τείχος προστασίας του απομακρυσμένου κεντρικού υπολογιστή και όχι στους επιλογείς.

Κρατήστε τους δύο στόχους χωριστούς

Η προστασία ενός υποδικτύου γραφείου και η αποστολή όλης της περιήγησης μέσω απομακρυσμένης εξόδου είναι διαφορετικές απαιτήσεις με διαφορετικούς επιλογείς. Ένα προφίλ φτιαγμένο για το ένα σπάνια ταιριάζει στο άλλο, και η ανάμειξή τους παράγει είτε διαρροή είτε σπασμένο διαχωρισμό. Η διεύρυνση του προστατευμένου εύρους σημαίνει αλλαγή και των δύο άκρων και της πολιτικής προώθησής τους, γιατί μια μονόπλευρη αλλαγή γίνεται απορριφθείσα πρόταση. Αυτός είναι ο πιο συνηθισμένος τρόπος με τον οποίο μια λειτουργική σήραγγα σταματά να λειτουργεί μετά από μια μικρή επεξεργασία.

Οι επιλογείς περιγράφουν την κρυπτογραφική κάλυψη, οι διαδρομές διαλέγουν μονοπάτια, και οι εφαρμογές επιβάλλουν τις δικές τους άδειες. Μια σήραγγα που καλύπτει τα πάντα εξακολουθεί να μην μπορεί να φτάσει μια υπηρεσία δεσμευμένη στο loopback, και μια διαδρομή μέσα στη σήραγγα εξακολουθεί να χρειάζεται επιλογέα που να περιλαμβάνει τον προορισμό. Ελέγξτε και τα τρία στο ίδιο αίτημα δοκιμής, και η αναντιστοιχία ονομάζει τον εαυτό της.