IPsec-poliitika neelab alla teie kohaliku liikluse: kuidas seda ära tunda

Laual olev printer lakkab vastamast hetkel, kui tunnel üles tuleb, ja miski tunneli konfiguratsioonis ei maini printerit. Tavaliselt on juhtunud nii, et kaitstud vahemik kirjutati piisavalt laiaks, et see hõlmaks printerit, nii et masin üritab nüüd krüpteerida liiklust, mis oleks pidanud jääma kohalikku segmenti. Paigaldatud poliitika lugemine selgitab kinnipüüdmist; selle kitsendamine õiges kohas hoiab kaugliikluse kaitstuna. Teekond ebaõnnestunud päringust sobiva poliitikani võtab paar minutit.

Jälgige voogu enne, kui muudate selektorit

Alustage ebaõnnestunud päringust ja kirjutage üles neli väärtust: allikaaadress, mida masin kasutab, täpne sihtkoht, marsruut, mille tuum valib, ja poliitika, mis sellele paarile vastab.

Need neli fakti otsustavad, kas kinnipüüdmine on tahtlik või juhuslik. Sihtkoht, mis jääb kaugselektori sisse, on projekti järgi kaitstud, isegi kui projekt oli vale. Sihtkoht sellest väljaspool, mis siiski kinni püütakse, tähendab, et sobib midagi muud, ja selektori muutmine ei aita. Mõlemad juhtumid on tavalised ja neid eristab üks käsk.

Tehke seda enne, kui midagi muudate, sest huvitav juhtum on kohalik alavõrk, mis kattub privaatse vahemikuga, mida ühendus kaitseb. Tuntud prefiksid nagu 192.168.0.0/16 esinevad paljudes võrkudes ja ühe jaoks kirjutatud selektor võib vaikselt katta teie oma.

Kolm kohaliku liiki, mis käituvad erinevalt

Sellele hostile määratud sihtkoht, samas lülis olev sihtkoht ja teise liidese taga olev sihtkoht on kolm erinevat juhtumit. Tuum käsitleb neid kõiki erinevalt, kui otsustab, kas liiklus vajab kaitset.

Ka lüüsi enda tekitatud liiklus ei ole sama mis kliendilt edastatud liiklus. Poliitika, mis näib edastatud liikluse jaoks õige, võib kinni püüda lüüsi enda haldusseansi, ja nii kaotab administraator juurdepääsu, kui tunnelit parandab.

Kasulik harjumus on juhtum valjusti nimetada: kas see pakett tuleb minult, läheb minu lülile või läbib mind? Iga vastus osutab erinevale kohale, mida kitsendada. Juhtumi üleskirjutamine takistab ka järgmisel inimesel sama tööd uuesti teha.

Kui kaitstud vahemik on kogu privaatne ruum, võivad kõik kolm juhtumit sinna korraga sattuda, ja sümptomiks saab masin, mis ei jõua kuhugi peale tunneli lõpp-punkti.

Lugege paigaldatud poliitikat, mitte faili

Konfiguratsioonifailid kirjeldavad kavatsust; tuum hoiab poliitikaid, mis tegelikult sobivad. Näidake mõlemat ja käsitlege lahknevust esimese leiuna.

Need käsud näitavad valitud marsruuti sihtkohani ja paigaldatud poliitikaid igas suunas:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Marsruut ütleb, millist liidest pakett kasutaks. Poliitikate loend ütleb, kas sellele paketile rakendatakse seejärel mall, ja ühenduste loend näitab, milliseid selektoreid deemon arvab olevat paigaldanud. Kui sihtkoht ilmub kaugselektorisse, olete kinnipüüdmise leidnud ilma oletamata.

Kitsendage selektorit või mööduge sihtkohast

On kaks toetatud parandust ja need vastavad erinevatele küsimustele. Selektori kitsendamine ütleb, et see ühendus kaitseb ainult väiksemat vahemikku, mis on õige, kui laiem vahemik oli viga. Möödasõidu lisamine ütleb, et seda konkreetset sihtkohta ei tohi kunagi kaitsta, mis on õige, kui kaitstud vahemik on tõesti lai ja üks sihtkoht on erand.

Valige esimene, kui saate, sest väiksemat selektorit on lihtsam mõtestada ja see on ühenduse definitsioonis näha. Valige teine, kui lai vahemik on kavatsuslik ja erand on üks host või alavõrk, millele saate nime anda.

Mõlemad kuuluvad konfiguratsiooni, millele ühendus kuulub. Käsitsi lisatud käitusaegne reegel kaob järgmisel taasühendamisel ja rike naaseb hetkel, mil keegi enam möödasõitu ei mäleta.

Ümberpaigaldamisele vastupidavad erandid

Pärast muudatust korrake sama kahjutut päringut ja vaadake samu loendureid. Kohalik sihtkoht peaks vastama ja kavandatud kaugsihtkoht peaks endiselt näitama krüpteeritud liiklust.

Need kaks kontrolli kinnitavad, et erand jäi püsima ja kaitse mitte:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Seejärel katkestage ja ühendage tunnel tahtlikult uuesti ning korrake mõlemat. Erand, mis töötab enne taasühendamist ja ebaõnnestub pärast seda, rakendati valele kihile, ja see on kõige tavalisem viis, kuidas see probleem naaseb.