Φτάνοντας σε έναν πελάτη IKEv2 στην εκχωρημένη εικονική IP του

Μια πύλη πρέπει να ξεκινήσει σύνδεση προς ένα φορητό υπολογιστή που είναι συνδεδεμένος σε αυτήν μέσω IKEv2, χρησιμοποιώντας την εκχωρημένη εικονική διεύθυνση αυτού του πελάτη. Το τούνελ είναι ενεργό, ο πελάτης φτάνει σε όλα πίσω από την πύλη, και η αντίστροφη κατεύθυνση εξακολουθεί να αποτυγχάνει. Αυτή η ασυμμετρία είναι φυσιολογική: η διαπραγματευμένη πολιτική περιγράφει ποιες διευθύνσεις επιτρέπεται να μιλούν, όχι ποια πλευρά επιτρέπεται να ξεκινήσει. Τρία πράγματα πρέπει να ευθυγραμμιστούν πριν δουλέψει ένα αίτημα που ξεκινά η πύλη.

Το τούνελ δεν διορθώνει τη διεύθυνση πηγής

Ένα CHILD SA καλύπτει ένα ζεύγος επιλογέων κίνησης, έναν ανά πλευρά, και επιτρέπει κίνηση και προς τις δύο κατευθύνσεις αυτού του ζεύγους. Δεν λέει τίποτα για το ποιος ομότιμος άνοιξε πρώτος την ανταλλαγή IKE. Μια πύλη που αρχικά άκουγε για το τούνελ μπορεί ακόμη να στείλει το πρώτο πακέτο εφαρμογής, αρκεί η επιλεγμένη πηγή και ο προορισμός να πέφτουν μέσα στους εγκατεστημένους επιλογείς. Όταν το αίτημα φεύγει από τη λάθος διεπαφή, απλώς δεν είναι κατάλληλο για το τούνελ.

Η δρομολόγηση προς τον πελάτη είναι απαραίτητη και όχι αρκετή. Η πολιτική πρέπει να δεχτεί την πηγή που χρησιμοποιήσατε πραγματικά.

Διαβάστε την εγκατεστημένη πολιτική, όχι το αρχείο ρυθμίσεων

Ξεκινήστε από την ενεργή συσχέτιση και τους επιλογείς της, γιατί η δυναμική εκχώρηση αλλάζει το τι είναι εγκατεστημένο στον πυρήνα.

ipsec statusall
ip xfrm policy

Η έξοδος κατάστασης ονομάζει τη σύνδεση, την εκχωρημένη εικονική διεύθυνση και τους επιλογείς που ισχύουν τώρα για αυτόν τον ομότιμο. Η αποτύπωση πολιτικής δείχνει τους ίδιους επιλογείς ως κατάσταση πυρήνα, και αυτούς συμβουλεύεται πραγματικά η επιλογή πακέτων. Συγκρίνετε τον επιλογέα της πλευράς πύλης με την πηγή που θα χρησιμοποιήσει η εφαρμογή σας, γιατί μια αναντιστοιχία εξηγεί αμέσως την αποτυχία. Διαβάστε την τρέχουσα διεύθυνση του πελάτη και όχι μία από προηγούμενη συνεδρία, γιατί μια εκ νέου εκχωρημένη VIP ακυρώνει την παλιά πολιτική.

Ο πελάτης πρέπει να ακούει εκεί όπου φτάνει το πακέτο

Ακόμη και μια τέλεια πολιτική φτάνει σε κλειστή θύρα όταν η υπηρεσία δεσμεύεται μόνο στο loopback. Ο ακροατής πρέπει να βρίσκεται στην εκχωρημένη διεύθυνση ή σε μια τοπική διεύθυνση μπαλαντέρ.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Η λίστα υποδοχών δείχνει αν η θύρα είναι δεσμευμένη στην εικονική διεύθυνση, και οι κανόνες του τείχους προστασίας δείχνουν αν γίνονται δεκτές νέες συνδέσεις από την προστατευμένη πηγή. Ένας κανόνας γραμμένος για εδραιωμένες συνδέσεις δεν επιτρέπει μια σύνδεση που ξεκινά η πύλη. Διατηρήστε την ταυτοποίηση της ίδιας της υπηρεσίας, γιατί η άφιξη μέσω του τούνελ καθορίζει μόνο από ποιο δίκτυο ήρθε το πακέτο. Ένας πελάτης πίσω από το δικό του NAT εξακολουθεί να μη χρειάζεται προώθηση εισερχόμενης θύρας, γιατί αυτά τα αιτήματα ταξιδεύουν μέσα στο υπάρχον τούνελ.

Δοκιμάστε τη νέα κατεύθυνση μόνη της

Ένα επιτυχές αίτημα από πελάτη σε διακομιστή δεν ασκεί ποτέ αυτή τη διαδρομή. Δημιουργήστε το αίτημα από την πύλη και παρατηρήστε και τα δύο άκρα.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Η αναζήτηση διαδρομής απαντά ποια πηγή και διεπαφή θα χρησιμοποιούσε η πύλη, και αυτή είναι η τιμή που πρέπει να δεχτεί η πολιτική. Η καταγραφή θα πρέπει να δείχνει το αίτημα να φεύγει μέσα σε ESP και όχι ως απλό TCP στη δημόσια διεπαφή. Στον πελάτη, καταγράψτε την αποκρυπτογραφημένη κίνηση για να επιβεβαιώσετε την άφιξη και αν απάντησε η υπηρεσία. Αν το αίτημα εξαφανιστεί χωρίς ESP στο δίκτυο, υποψιαστείτε τη διεύθυνση πηγής πριν από το τείχος προστασίας του πελάτη.

Επαναλάβετε τη δοκιμή μετά από ανανέωση κλειδιού ή επανασύνδεση, γιατί η VIP μπορεί να αλλάξει. Μια διαδρομή που λειτουργεί μόνο μέχρι την επόμενη συνεδρία δεν είναι διαδρομή που λειτουργεί.