IPsec-trafikselektiloj: kion ili kovras kaj kion ne

Trafikselektiloj nomas la internan trafikon, kiun interkonsento pri IPsec protektas, kaj la paro estas intertraktata anstataŭ supozata. Du finpunktoj povas perfekte aŭtentikigi unu la alian kaj tamen malkonsenti pri tio, kiuj pakaĵoj apartenas ene de la tunelo. Tiu malkonsento estas nevidebla en la konekta stato, kiu kutime raportas sanan tunelon. Legi la selektilojn de ambaŭ finoj kaj poste sekvi unu celon trovas ĝin pli rapide ol ajna kvanto da politika redaktado.

Legu ilin de ambaŭ finoj

Ĉiu finpunkto priskribas sian propran flankon kiel lokan kaj la alian flankon kiel malproksiman. La sama paro da antaŭfiksoj do aperas interŝanĝita en la du agordoj, kaj tio estas ĝusta, ne kontraŭdira. Inversigi la perspektivon estas la unua farendaĵo, kiam funkcianta interkonsento aspektas malĝusta sur papero. Kompari du dosierojn flanke unu apud la alia sen interŝanĝi ilin kreas malkongruon, kiu ne ekzistas.

La valoroj ne ĉiam estas unuopaj subretoj. IKEv2-selektiloj povas porti adresajn intervalojn, protokolnumerojn kaj portintervalojn, kaj tiel politiko protektas unu servon anstataŭ tutan reton. Selektilo pli mallarĝa ol la celita trafiko kreas tunelon, kiu portas kelkajn celojn kaj silente ekskludas aliajn.

Skribu ambaŭ flankojn en unu tabelon antaŭ ol ŝanĝi ion ajn. La ekzerco kutime solvas la demandon sen tuŝi agordan dosieron.

Mallarĝigo estas decido de la respondanto

Iniciatinto proponas, kaj la respondanto povas akcepti nur subaron. IKEv2 permesas al la respondanto mallarĝigi la proponitajn trafikselektilojn, kaj la mallarĝigita rezulto estas tio, kio efektive instaliĝas. Legi la agordon de la iniciatinto do priskribas proponon, ne la interkonsenton.

Tial subreto aldonita al la kliento povas produkti funkciantan tunelon, kiu tamen rifuzas la novan celon. La servilo mallarĝigis la proponon al tio, kion ĝia politiko permesas, dum la dosiero de la kliento ankoraŭ listigas la pli vastan intervalon. Nur la intertraktita stato montras la veron: en Linux, ip xfrm policy kaj la listo de child SA en la IKEv2-dokumentaro de strongSwan raportas kion oni instalis, ne kion oni petis. Kiam la du malkongruas, la politiko de la respondanto estas tiu, kiun endas ŝanĝi.

Rifuzita propono estas alia simptomo ol mallarĝigita. Rifuzo aperas en la intertraktada protokolo kaj tute ne lasas child-asocion.

Sekvu unu celon de komenco ĝis fino

Elektu realan celon kune kun la fonta adreso, kiun la kliento uzus por ĝi, poste sekvu tiun paron tra tri sendependaj decidoj. La vojo elektas padon, la selektilo decidas ĉu tiu pado estas protektita, kaj la fajroŝirmilo decidas ĉu la pakaĵo estas permesita. Ĉiu povas fiaski memstare, kaj vasta selektilo riparas neniun el la aliaj.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

La voj-demando nomas la interfacon kaj fontan adreson, kiuj portus la pakaĵon. La politika listo montras ĉu ekzistas kongrua tunela politiko por tiu paro, inkluzive ĝian direkton kaj nivelon. La SA-listo montras la intertraktitajn child-selektilojn kune kun nombriloj, do child-asocio kun nulo da pakaĵoj post provita trafiko estas la signo de selektiloj, kiuj ekskludas tion, kio estas sendata. Tri komandoj, tri malsamaj respondoj, kaj nur unu el ili klarigas silentan perdon.

Se la child-nombriloj moviĝas dum la aplikaĵo ankoraŭ fiaskas, la problemo sidas preter la tunelo. Tio movas la esploradon al la aŭskultanto aŭ fajroŝirmilo de la malproksima gastiganto, ne al la selektiloj.

Tenu la du celojn aparte

Protekti oficejan subreton kaj sendi la tutan retumadon tra malproksima eliro estas malsamaj postuloj kun malsamaj selektiloj. Profilo konstruita por unu malofte taŭgas por la alia, kaj miksado de ili produktas aŭ likon aŭ rompitan disigon. Vastigi la protektitan intervalon signifas ŝanĝi ambaŭ finpunktojn kaj ilian plusendan politikon, ĉar unuflanka ŝanĝo fariĝas rifuzita propono. Tio estas la plej ofta maniero, laŭ kiu funkcianta tunelo ĉesas funkcii post malgranda redakto.

Selektiloj priskribas kriptografian kovradon, vojoj elektas padojn, kaj aplikaĵoj trudas siajn proprajn permesojn. Tunelo, kiu kovras ĉion, tamen ne povas atingi servon ligitan al loopback, kaj vojo en la tunelon tamen bezonas selektilon inkluzivantan la celon. Kontrolu ĉiujn tri kontraŭ la sama testa peto, kaj la malkongruo nomos sin mem.