IPsec-liiklusvalijad: mida need katavad ja mida mitte

Liiklusvalijad nimetavad sisemise liikluse, mida IPsec-kokkulepe kaitseb, ja paar on läbi räägitud, mitte eeldatud. Kaks otspunkti võivad üksteist täiuslikult autentida ja olla ikkagi eriarvamusel, millised paketid tunnelisse kuuluvad. See eriarvamus on ühenduse olekus nähtamatu, mis tavaliselt teatab tervest tunnelist. Valijate lugemine mõlemast otsast ja seejärel ühe sihtkoha jälitamine leiab selle kiiremini kui ükskõik kui palju poliitika redigeerimist.

Lugege neid mõlemast otsast

Iga otspunkt kirjeldab oma poolt lokaalsena ja teist poolt kaugena. Seetõttu paistab sama prefiksipaar kahes konfiguratsioonis vahetatud, ja see on õige, mitte vastuoluline. Vaatenurga ümberpööramine on esimene asi, mida teha, kui töötav kokkulepe näeb paberil vale välja. Kahe faili kõrvuti võrdlemine ilma nende vahetamiseta tekitab mittevastavuse, mida ei ole olemas.

Väärtused ei ole alati üksikud alamvõrgud. IKEv2 valijad võivad kanda aadressivahemikke, protokollinumbreid ja pordivahemikke, ja nii kaitseb poliitika ühte teenust terve võrgu asemel. Kavatsetud liiklusest kitsam valija loob tunneli, mis kannab osa sihtkohti ja jätab teised vaikselt välja.

Kirjutage mõlemad pooled ühte tabelisse enne, kui midagi muudate. See harjutus lahendab tavaliselt küsimuse ilma konfiguratsioonifaili puutumata.

Kitsendamine on vastaja otsus

Algataja pakub ja vastaja võib nõustuda ainult osahulgaga. IKEv2 lubab vastajal pakutud liiklusvalijaid kitsendada, ja kitsendatud tulemus on see, mis tegelikult paigaldatakse. Algataja konfiguratsiooni lugemine kirjeldab seega pakkumist, mitte kokkulepet.

Seepärast võib kliendile lisatud alamvõrk anda töötava tunneli, mis siiski uue sihtkoha tagasi lükkab. Server kitsendas pakkumise sellega, mida tema poliitika lubab, samal ajal kui kliendi fail loetleb endiselt laiemat vahemikku. Tõde näitab ainult läbiräägitud olek: Linuxis teatavad ip xfrm policy ja child SA loend strongSwani IKEv2 dokumentatsioonis, mis paigaldati, mitte mis taotleti. Kui need kaks on vastuolus, tuleb muuta vastaja poliitikat.

Tagasilükatud pakkumine on teistsugune sümptom kui kitsendatud. Tagasilükkamine ilmub läbirääkimiste logisse ja ei jäta üldse child-seost.

Jälitage ühte sihtkohta algusest lõpuni

Valige tegelik sihtkoht koos lähteaadressiga, mida klient selle jaoks kasutaks, ja jälitage siis seda paari läbi kolme sõltumatu otsuse. Marsruut valib tee, valija otsustab, kas see tee on kaitstud, ja tulemüür otsustab, kas pakett on lubatud. Igaüks võib iseseisvalt ebaõnnestuda ja lai valija ei paranda ühtegi teist.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Marsruudipäring nimetab liidese ja lähteaadressi, mis paketti kannaksid. Poliitikaloend näitab, kas selle paari jaoks on olemas sobiv tunnelipoliitika, sealhulgas selle suund ja tase. SA loend näitab läbiräägitud child-valijaid koos loenduritega, nii et child-seos null paketiga pärast liikluse proovimist on nende valijate allkiri, mis jätavad välja selle, mida saadetakse. Kolm käsku, kolm erinevat vastust ja ainult üks neist selgitab vaikset kadu.

Kui child-loendurid liiguvad, samal ajal kui rakendus ikka ei tööta, on probleem tunnelist kaugemal. See viib uurimise kaugema hosti kuulajani või tulemüürini, mitte valijateni.

Hoidke kaks eesmärki lahus

Kontori alamvõrgu kaitsmine ja kogu sirvimise kaugväljundi kaudu saatmine on erinevad nõuded erinevate valijatega. Ühe jaoks ehitatud profiil sobib teise jaoks harva, ja nende segamine annab kas lekke või katkise jaotuse. Kaitstud vahemiku laiendamine tähendab mõlema otspunkti ja nende edastuspoliitika muutmist, sest ühepoolne muudatus muutub tagasilükatud pakkumiseks. See on kõige tavalisem viis, kuidas töötav tunnel pärast väikest muudatust töötamise lõpetab.

Valijad kirjeldavad krüptograafilist katvust, marsruudid valivad teid ja rakendused kehtestavad omaenda lube. Tunnel, mis katab kõike, ei jõua ikkagi loopbacki külge seotud teenuseni, ja tunnelisse viiv marsruut vajab ikkagi valijat, mis sihtkoha sisaldaks. Kontrollige kõiki kolme sama testpäringu vastu ja mittevastavus nimetab end ise.