Kial IPsec-sekureca politiko ne estas ero en la enkursiga tabelo

Pingu 10.20.0.5 tra la tunelo kaj nenio revenas, dum la enkursiga tabelo insistas, ke tiu subreto estas atingebla. Enkursigado kaj IPsec respondas al malsamaj demandoj, kaj nur unu el ili temas pri atingeblo. La antaŭa serĉo elektas vojon, poste la datumbazo de sekureca politiko decidas, ĉu tiu vojo devas esti protektata, lasata kiel ĝi estas aŭ rifuzata. Kiam la du malkonsentas, la paketo mortas silente, do legu ilin en tiu ordo.

Komencu per la serĉo, ne per la tabelo

Demandu la kernon, kion ĝi vere farus: ip route get 10.20.0.5 presas la elektitan vojon, la eliran interfacon kaj la fontan adreson, kiun ĝi uzus. Prefikso, politika regulo, marko aŭ preferata fonto povas ŝanĝi tiun respondon, tial la viva serĉo superas legadon de la tabelo per okulo.

Testu celon ene de la protektata gamo, ne la pordegan adreson. Atingi la pordegon de la alia flanko pruvas nur, ke ia vojo ekzistas; ĝi diras nenion pri la subreto, kiun vi efektive bezonas. Poste konfirmu, ke la interfaco elektita de la serĉo estas tiu, kiun vi atendas, ke la tunelo uzos.

Kongruigu la elektilojn ambaŭflanke

La politika datumbazo havas proprajn erojn, kaj ĉiu nomas direkton, fonton, celon kaj protokolon, poste diras, kio devas okazi al kongruaj paketoj. Uzu ip xfrm policy por listigi ilin; la flagoj montras, ĉu la ago estas protekti, preterpasi aŭ bloki. Politiko, kies elektiloj estas pli larĝaj aŭ pli mallarĝaj ol via testa fluo ne kongruos kun ĝi, kaj la paketo eliras neprotektite. Tio estas la paneo, kiun vi ĉasas, ne mankanta vojo.

Komparu la efektivajn valorojn: fonto, celo, protokolo kaj pordoj. Se la serĉo solvis unu adresparon dum la politika ero kovras alian, la du vidoj priskribas malsaman trafikon. Rerunu ambaŭ kun la sama opo antaŭ ol konkludi, alie vi redaktos politikon, kiu neniam estis en la vojo.

Politika kongruo ne estas instalita stato

Kongrua politiko nur diras, ke la paketo devas esti protektata; la kerno ankoraŭ bezonas sekurecan asocion por fari la protekton. Listigu ilin per ip xfrm state, aŭ per swanctl --list-sas kiam strongSwan faras la intertraktadon, kaj legu la elektilojn kaj nombrilojn en ĉiu ero.

Kiam politiko kongruas kaj neniu asocio kovras la samajn elektilojn, la paketo estas forĵetata anstataŭ sendata en klara teksto. Tio estas la forĵeto, kiun vi serĉu kiam la tunelo funkcias sed unu subreto malsukcesas. La nombriloj diras la reston: asocio, kiu neniam kreskas, neniam estis elektita, dum tiu, kiu kreskas kaj tamen finiĝas per forĵeto, montras al la fora flanko. Ripari elektilojn kaj renovigi ŝlosilojn estas malsamaj riparoj, do decidu, kiun vi bezonas, antaŭ ol tuŝi la agordon.

Kion vojo-bazita tunelo ankoraŭ postulas

XFRM-interfaco igas la tunelon aspekti kiel aparato, en kiun vi povas enkursigi, kio estas vere utila. Ĝi ne forigas la politikon kaj staton, kiuj decidas, kio okazas post kiam la paketo alvenas tien. La vojo kontribuas sekvan salteton kaj nenion pli.

Se la aparato ekzistas kaj la vojo montras en ĝin dum neniu asocio kongruas kun la internaj elektiloj, la paketo estas forĵetata, kaj nenia kvanto da vojredaktado produktas ŝlosilojn aŭ elektilojn. Kontrolu la interfacon kun la sama fonto kaj celo, kiujn vi enkursigis, poste komparu tion kun la stata listo.

Klaregu posedrajton antaŭ ol redakti ion

Fajroŝirmilo sur la gastiganto aldonas trian decidon, pri kiu neniu el la du datumbazoj scias. Ĝusta vojo plus kongrua politiko plus instalita asocio ankoraŭ povas finiĝi per forĵetita paketo, kaj la aplikaĵo raportas nur la tempolimon. Konfirmu, ke la fajroŝirmilo permesas la protektatan trafikon antaŭ ol kulpigi IPsec. Kaptado sur la tunela aparato kaj sur la fizika interfaco montras, sur kiu flanko de la ĉifrado la paketo malaperis.

La posedrajto de la agordo decidas, ĉu via riparo postvivos restarton. Unu komponanto povas instali staton dum alia administras vojojn, kaj permana redakto de la dua estas anstataŭigita la venontan fojon, kiam la tunelo ekfunkcias. Ŝanĝu la posedantan agordon, poste relegu ambaŭ vidojn; RFC 4301 tenas la du datumbazojn apartaj kiam vi devas klarigi la dividon al iu alia.