Defaŭlta vojo de XFRM englutis IKE kaj ESP: konservu la eksteran vojon

La trafiko estas protektita, la tunelo funkcias, kaj poste ĝi mortas ĉe la sekva ŝlosilrenovigo. Defaŭlta vojo tra la XFRM-interfaco priskribis la trafikon, kiun vi volis protekti. Ĝi ankaŭ englutis la pakaĵojn necesajn por daŭre protekti ĝin.

La du koncernaj celoj ne estas interŝanĝeblaj. La enkursigado devas diri tion eksplicite.

Kien la serĉo de la partnero efektive iras

Notu la aktivajn regulojn, la tabelon, kiu tenas la XFRM-vojon, kaj la publikan adreson de la partnero. Poste rigardu la vojon, kiun la ekstera konekto prenus kun sia reala fonto kaj marko. Ĝenerala celo diras al vi nenion pri tiu kontrolvojo. Nur la reala fonto kaj marko donas utilan respondon.

Sukcesa komenca konekto ankaŭ pruvas malmulte. La fiasko ofte aperas post kiam voja instalado ŝanĝas la respondon. La starto sukcesas, poste la unua renovigo ne.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Se la serĉo por la partnero solviĝas en la XFRM-interfacon, la eksteraj pakaĵoj estas enkursigataj en la tunelon, kiun ili mem konstruas. Tio estas la buklo, videbla per unu komando.

Ekskludaj opcioj sur moderna pordego

La dokumentaro de strongSwan pri vojbazita VPN prezentas du praktikajn respondojn. Unu markas IKE kaj ESP, por ke la regulo al la XFRM-tabelo ne kongruu ilin. La alia lasas partneran vojon aŭ ekskludon, kiun la serĉo ankoraŭ povas atingi.

Prenu tiun, kiun via regulo-kolekto povas esprimi sen flankaj efikoj. Marko estas pura, kiam la resto de la stako jam uzas markojn. Ĝi estas danĝero, kiam la sama masko signifas ion alian en alia regulo. Ambaŭ pakaĵtipoj bezonas la trakton ĉiuokaze.

Marki nur IKE lasas la datum-pakaĵojn sur la kaptita vojo. Tio produktas tunelon, kiu faras manpremon kaj poste portas nenion.

La marko estas unu bito en la fwmark de la pakaĵo, kiun nenio alia sur la pordego postulas: 0x1 kun masko 0x1 estas la kutima elekto, kaj ĝi devas esti agordita duoble, por ke la ekskludo funkciu. Charon bezonas ĝin sur la IKE-ingo, kaj la eniraj kaj eliraj markagordoj de la ida konekto bezonas la saman valoron, por ke ankaŭ enkapsuligitaj pakaĵoj eliru markitaj. Masko de 0x1 anstataŭ 0xffffffff lasas la ceterajn bitojn liberaj, kio gravas, kiam alia subsistemo jam markas pakaĵojn sur la sama gastiganto. Kun ambaŭ agorditaj, la regulo estas skribata kiel ekskludo, do markitaj pakaĵoj preterlasas la tabelon kun la XFRM-vojo kaj falas en la ĉefan tabelon:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Poste legu la respondon kun la marko aplikita. Sen ĝi vi ekzamenas la vojon, kiun prenas protektita trafiko, kio estas la malo de la demando de ĉi tiu sekcio.

Kion la aŭtomata instalado supozas pri la konstruo

Aŭtomata voja instalado por XFRM-interfaco dependas de la versio de strongSwan kaj ĝia agordo. La interfaca ID, la instalita politiko kaj la asocio ĉiuj devas rilati al la celitaj objektoj. Miskongruo montriĝas kiel vojo, kiu kviete montras al io reala.

Kopii tabelnumeron aŭ markomaskon de alia pordego estas la maniero, kiel kolizioj komenciĝas. Unue kontrolu, kio jam uzas ĝin. Kolizio afektas trafikon multe preter la tunelo, kiun vi volis ŝanĝi, kaj la simptomo malofte montras al la kopio.

Ŝanĝoj de la partnera adreso apartenas al la dezajno. Gastiga vojo por la hieraŭa adreso ne estas plano por restaŭri la finpunkton, dum marko postvivas tiun ŝanĝon.

Observu la unuan renovigon

Kontrolu la eksteran vojon post kiam la protektitaj vojoj estas instalitaj, ne antaŭe. Poste observu la sekvan renovigon kaj unu aplikaĵinterŝanĝon. La fiasko kutime aperas ĉe tiu transiro, ne ĉe la starto.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Forigi la protektitan defaŭltan vojon portempe kutime restarigas la konektecon. Tiu rezulto estas diagnoza, ne fina.

La celo estas stabila divido inter interna trafiko kaj la eksteraj pakaĵoj, kiuj portas ĝin. Skribu la elektitan mekanismon kaj ĝian tabelon aŭ markon en la pordegaj notoj. Alie la sekva persono, kiu tuŝos la regulojn, reenkondukos la buklon.