strongSwan-trapa reĝimo: kial la IPsec-tunelo atendas trafikon

Neaktiva laŭposta IPsec-tunelo montras neniun CHILD SA ĝis paketo kongruas kun ĝia trapa regulo. Legu la staton, kontrolu la ekigilon kaj sciu kiam taŭgas start.

Neniu CHILD SA aperas en la statusa eligo, la tunelo aspektas morta, kaj poste ping al la fora subreto levas ĝin. En laŭposta IPsec-agordo tiu sinsekvo estas la dezajno, ne paneo. Trapa regulo instalas selektilon kaj atendas, kaj la unua kongrua paketo ekigas IKE kaj la CHILD SA-traktadon.

Parto de la konfuzo estas vortprovizo: “up” uziĝas por du malsamaj statoj. La agordo estas ŝargita kaj la kernaj reguloj ekzistas, sed ne la datena asocio. Monitoro, kiu kalkulas nur aktivajn SA-ojn, raportos sanan ejon kiel malsupra dum neniu sendas trafikon al ĝi.

Neaktiva laŭposta tunelo havas neniun CHILD SA por montri

Trapa rikordo mem ne aŭtentikigas ion. Ĝi petas la kernon teni regulon por la elektita trafiko kaj levi acquisition kiam paketo bezonas tiun regulon. La demono ricevas la acquisition, kunordigas ĝin kun la child-difino kaj traktas de tie. Ĝis tiu punkto ankaŭ ne estas IKE SA por montri, tial ambaŭ listoj povas samtempe esti malplenaj.

Ĝuste tiu ordo igas la protokolojn legeblaj. Unue venas la acquisition, poste IKE_SA_INIT kaj IKE_AUTH, poste la CHILD SA. Se la protokolo finiĝas tuj post la acquisition, la ekigilo funkciis. La traktado malsukcesis, kaj la sekva demando temas pri akreditaĵoj, proponoj aŭ atingeblo, ne pri la trapo.

Kun la Linux-kerna malantaŭaĵo vi povas vidi la regulon antaŭ ol ekzistas iu ajn SA. Rulu ip xfrm policy kaj serĉu la selektilon kun direkto out kaj ŝablono montranta al la konekto. Tiu rikordo estas la laŭposta stato, kaj ĝia ĉeesto estas la unua afero konfirmenda.

start_action decidas ĉu io ajn atendas

Ĉiu child en swanctl.conf portas start_action. start ekas kiam la agordo ŝargiĝas, trap instalas la regulon kaj atendas, kaj none lasas la ekigon al io alia. Nur trap produktas la konduton «ping kaj ĝi leviĝas» priskribitan supre.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

La du trafikaj selektiloj difinas kio validas kiel interesa, kaj paketo de gastiganto ekster tiuj prefiksoj ne pafas la trapon; ĝi enkursiĝas kiel kutime. Larĝigi la selektilojn por fari la ekigilon pli avida ankaŭ larĝigas la amplekson, kiun la tunelo asertas protekti, do derivu ilin el trafiko, kiun vi vere intencas ĉifri.

La swanctl.conf-referenco listigas la akceptatajn valorojn, kune kun la apartaj close- kaj DPD-agoj, kiuj regas kio okazas post kiam la SA ekzistas.

Elkomprenu ĉu la ekigilo entute pafiĝis

Komencu per swanctl --list-conns kaj konfirmu, ke la child ŝargiĝis kun la intencita ago. Poste sendu unu paketon de gastiganto ene de local_ts al adreso ene de remote_ts kaj observu swanctl --list-sas. Se la eligo ne ŝanĝiĝas, neniu acquisition atingis la demonon.

Du ordinaraj kaŭzoj por silenta trapo: la paketo estis source-NAT-ita antaŭ ol ĝi trafis la regulon kaj ne plu kongruas kun local_ts, aŭ la konekto neniam ŝargiĝis pro sintaksa aŭ akreditaĵa eraro. Rulu denove swanctl --load-all kaj legu ĝian eligon antaŭ ol tuŝi selektilojn. Konekto, kiu malsukcesis ŝargiĝi, instalas neniun regulon, do estas nenio, kion trafiko povus ekigi.

Ankaŭ la direkto gravas: trapo instalita por elira trafiko ne ekas ĉe enira paketo. Se la fora flanko devas levi la tunelon, ĝi bezonas sian propran trapon, aŭ ĉi tiu flanko bezonas start.

Atendi la unuan paketon ne ĉiam estas la ĝusta interŝanĝo

Interagaj seancoj sentas la agordan koston. La unua peto pagas la IKE-interŝanĝon kaj la CHILD-traktadon, kaj kliento kun mallonga templimo povas rezigni antaŭ ol la SA ekzistas. Proaktiva start forigas tiun unuapaketan prokraston. Sed ĝi tenas tunelon levan por trafiko, kiu eble neniam alvenos.

Tri faktoj decidas la elekton: kiom ofte la vojo uziĝas, ĉu la unua peto havas striktan templimon, kaj ĉu la kunulo atingeblas ĉe ŝargo. Okaza aro-trafiko kaj kunulo, kiu eble estas malligita ĉe ŝargo, ambaŭ favoras trap. Latenc-sentiva kliento kaj ĉiam atingebla kunulo favoras start. Se ambaŭ flankoj povas ekigi, interkonsentu kiu posedas la ekigilon por eviti duoblajn traktadojn.

Instalita regulo ankaŭ ne estas likimuna garantio. Se la postulo estas fail-closed, la fajroŝirmilo devas forĵeti trafikon sen SA, kaj tiu regulo vivas ekster la child-difino.

Notu la tri liniojn, kiuj finos la sekvan disputon

Skribu la selektilojn, la ekigan agon kaj la komandan eligon, kiu montras la regulon ĉeesta sen SA. Tiuj tri linioj apartigas «laŭposte kaj neaktive» de «ne ŝargiĝas» la venontan fojon, kiam iu raportos la tunelon kiel malsupran. Ili kostas unu minuton. Sen ili la sama esploro rekomenciĝas de nulo.

Testu de gastiganto, kiu vere estas ene de la selektilo. Ping de la enkursigilo mem ofte sekvas alian vojon kaj pruvas nenion pri la regulo, kiu protektas la subreton malantaŭ ĝi.

Rilataj artikoloj