Γιατί μια πολιτική ασφαλείας IPsec δεν είναι καταχώριση στον πίνακα δρομολόγησης

Κάντε ping στο 10.20.0.5 μέσα από το τούνελ και δεν επιστρέφει τίποτα, ενώ ο πίνακας δρομολόγησης επιμένει ότι αυτό το υποδίκτυο είναι προσβάσιμο. Η δρομολόγηση και το IPsec απαντούν σε διαφορετικά ερωτήματα, και μόνο ένα από αυτά αφορά την προσβασιμότητα. Η αναζήτηση προς τα εμπρός επιλέγει μια διαδρομή, μετά η βάση δεδομένων πολιτικής ασφαλείας αποφασίζει αν αυτή η διαδρομή πρέπει να προστατευτεί, να μείνει ως έχει ή να απορριφθεί. Όταν τα δύο διαφωνούν, το πακέτο πεθαίνει ήσυχα, γι' αυτό διαβάστε τα με αυτή τη σειρά.

Ξεκινήστε από την αναζήτηση, όχι από τον πίνακα

Ρωτήστε τον πυρήνα τι θα έκανε πραγματικά: το ip route get 10.20.0.5 εκτυπώνει τη διαδρομή που επιλέχθηκε, τη διεπαφή εξόδου και τη διεύθυνση πηγής που θα χρησιμοποιούσε. Ένα πρόθεμα, ένας κανόνας πολιτικής, ένα σημάδι ή μια προτιμώμενη πηγή μπορούν να αλλάξουν αυτή την απάντηση, γι' αυτό η ζωντανή αναζήτηση υπερτερεί της ανάγνωσης του πίνακα με το μάτι.

Δοκιμάστε έναν προορισμό μέσα στο προστατευμένο εύρος, όχι τη διεύθυνση της πύλης. Το να φτάσετε στην πύλη της απέναντι πλευράς αποδεικνύει μόνο ότι υπάρχει κάποια διαδρομή· δεν λέει τίποτα για το υποδίκτυο που χρειάζεστε πραγματικά. Στη συνέχεια επιβεβαιώστε ότι η διεπαφή που επέλεξε η αναζήτηση είναι αυτή που περιμένετε να χρησιμοποιήσει το τούνελ.

Ταιριάξτε τους επιλογείς και στις δύο πλευρές

Η βάση δεδομένων πολιτικής έχει τις δικές της καταχωρίσεις, και καθεμία ονομάζει κατεύθυνση, πηγή, προορισμό και πρωτόκολλο, και μετά δηλώνει τι πρέπει να συμβεί στα πακέτα που ταιριάζουν. Χρησιμοποιήστε το ip xfrm policy για να τις απαριθμήσετε· οι σημαίες δείχνουν αν η ενέργεια είναι προστασία, παράκαμψη ή αποκλεισμός. Μια πολιτική της οποίας οι επιλογείς είναι ευρύτεροι ή στενότεροι από τη ροή δοκιμής σας δεν θα ταιριάξει μαζί της, και το πακέτο φεύγει χωρίς προστασία. Αυτή είναι η βλάβη που κυνηγάτε, όχι μια διαδρομή που λείπει.

Συγκρίνετε τις πραγματικές τιμές: πηγή, προορισμό, πρωτόκολλο και θύρες. Αν η αναζήτηση έλυσε ένα ζεύγος διευθύνσεων ενώ η καταχώριση πολιτικής καλύπτει ένα άλλο, οι δύο όψεις περιγράφουν διαφορετική κίνηση. Εκτελέστε ξανά και τις δύο με την ίδια πλειάδα πριν βγάλετε συμπέρασμα, αλλιώς θα επεξεργαστείτε μια πολιτική που δεν ήταν ποτέ στη διαδρομή.

Μια αντιστοίχιση πολιτικής δεν είναι εγκατεστημένη κατάσταση

Μια πολιτική που ταιριάζει λέει μόνο ότι το πακέτο πρέπει να προστατευτεί· ο πυρήνας χρειάζεται ακόμα μια συσχέτιση ασφαλείας για να κάνει την προστασία. Απαριθμήστε τις με το ip xfrm state, ή με το swanctl --list-sas όταν το strongSwan κάνει τη διαπραγμάτευση, και διαβάστε τους επιλογείς και τους μετρητές σε κάθε καταχώριση.

Όταν μια πολιτική ταιριάζει και καμία συσχέτιση δεν καλύπτει τους ίδιους επιλογείς, το πακέτο απορρίπτεται αντί να σταλεί σε καθαρό κείμενο. Αυτή είναι η απόρριψη που πρέπει να ψάχνετε όταν το τούνελ είναι ενεργό αλλά ένα μόνο υποδίκτυο αποτυγχάνει. Οι μετρητές λένε τα υπόλοιπα: μια συσχέτιση που δεν αυξάνεται ποτέ δεν επιλέχθηκε ποτέ, ενώ μία που αυξάνεται και καταλήγει σε απόρριψη δείχνει προς την απομακρυσμένη πλευρά. Η διόρθωση των επιλογέων και η ανανέωση κλειδιών είναι διαφορετικές επισκευές, γι' αυτό αποφασίστε ποια χρειάζεστε πριν αγγίξετε τη διαμόρφωση.

Τι εξακολουθεί να απαιτεί ένα τούνελ βασισμένο σε διαδρομή

Μια διεπαφή XFRM κάνει το τούνελ να μοιάζει με συσκευή στην οποία μπορείτε να δρομολογήσετε, κάτι που είναι πραγματικά χρήσιμο. Δεν αφαιρεί την πολιτική και την κατάσταση που αποφασίζουν τι συμβαίνει όταν το πακέτο φτάσει εκεί. Η διαδρομή συνεισφέρει ένα επόμενο άλμα και τίποτα περισσότερο.

Αν η συσκευή υπάρχει και η διαδρομή δείχνει μέσα της ενώ καμία συσχέτιση δεν ταιριάζει με τους εσωτερικούς επιλογείς, το πακέτο απορρίπτεται, και καμία ποσότητα επεξεργασίας διαδρομών δεν παράγει κλειδιά ή επιλογείς. Ελέγξτε τη διεπαφή με την ίδια πηγή και προορισμό που δρομολογήσατε και μετά συγκρίνετε το με τη λίστα καταστάσεων.

Ξεκαθαρίστε την κυριότητα πριν επεξεργαστείτε οτιδήποτε

Ένα τείχος προστασίας στον κεντρικό υπολογιστή προσθέτει μια τρίτη απόφαση που καμία από τις δύο βάσεις δεδομένων δεν γνωρίζει. Μια σωστή διαδρομή συν μια πολιτική που ταιριάζει συν μια εγκατεστημένη συσχέτιση μπορούν ακόμα να καταλήξουν σε απορριφθέν πακέτο, και η εφαρμογή αναφέρει μόνο το χρονικό όριο. Επιβεβαιώστε ότι το τείχος προστασίας επιτρέπει την προστατευμένη κίνηση πριν κατηγορήσετε το IPsec. Η καταγραφή στη συσκευή του τούνελ και στη φυσική διεπαφή δείχνει σε ποια πλευρά της κρυπτογράφησης εξαφανίστηκε το πακέτο.

Η κυριότητα της διαμόρφωσης καθορίζει αν η διόρθωσή σας θα επιβιώσει από επανεκκίνηση. Ένα στοιχείο μπορεί να εγκαθιστά κατάσταση ενώ ένα άλλο διαχειρίζεται διαδρομές, και μια χειροκίνητη αλλαγή στο δεύτερο αντικαθίσταται την επόμενη φορά που θα σηκωθεί το τούνελ. Αλλάξτε τη διαμόρφωση που κατέχει και μετά ξαναδιαβάστε τις δύο όψεις· RFC 4301 κρατά τις δύο βάσεις δεδομένων ξεχωριστές όταν πρέπει να εξηγήσετε τον διαχωρισμό σε κάποιον άλλο.