IKEv2 kliendini jõudmine tema määratud virtuaalsel IP-l

Lüüs peab alustama ühendust sülearvutiga, mis on temaga IKEv2 kaudu ühendatud, kasutades selle kliendi määratud virtuaalaadressi. Tunnel on püsti, klient jõuab kõigeni lüüsi taga ja vastassuund ikka ei tööta. See asümmeetria on normaalne: kokkulepitud poliitika kirjeldab, millised aadressid tohivad rääkida, mitte see, milline pool tohib alustada. Kolm asja peavad klappima, enne kui lüüsist algatatud päring tööle hakkab.

Tunnel ei paranda allika aadressi

CHILD SA hõlmab liiklusselektorite paari, üks kummagi poole jaoks, ja lubab liiklust selle paari mõlemas suunas. See ei ütle midagi selle kohta, milline partner avas IKE-vahetuse esimesena. Lüüs, mis algselt tunnelit kuulas, võib ikkagi saata esimese rakendusepaketi, kui valitud allikas ja sihtkoht jäävad paigaldatud selektorite sisse. Kui päring väljub valest liidesest, ei ole see lihtsalt tunneli jaoks sobilik.

Marsruutimine kliendi poole on vajalik ja mitte piisav. Poliitika peab lubama allikat, mida te tegelikult kasutasite.

Lugege paigaldatud poliitikat, mitte konfiguratsioonifaili

Alustage aktiivsest liidest ja selle selektoritest, sest dünaamiline määramine muudab seda, mis on tuumasse paigaldatud.

ipsec statusall
ip xfrm policy

Olekuväljund nimetab ühenduse, määratud virtuaalaadressi ja selektorid, mis selle partneri jaoks praegu kehtivad. Poliitika dump näitab samu selektoreid tuuma olekuna ja just seda paketi valik tegelikult küsib. Võrrelge lüüsi poolset selektorit allikaga, mida teie rakendus kasutab, sest mittekattuvus selgitab tõrke kohe. Lugege kliendi praegust aadressi, mitte eelmisest seansist pärit aadressi, sest ümber määratud VIP muudab vana poliitika kehtetuks.

Klient peab kuulama seal, kuhu pakett saabub

Isegi täiuslik poliitika jõuab suletud porti, kui teenus seotakse ainult loopbackiga. Kuulaja peab olema määratud aadressil või kohalikul metamärk-aadressil.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Pesade loend näitab, kas port on virtuaalaadressiga seotud, ja tulemüüri reeglid näitavad, kas kaitstud allikast võetakse uusi ühendusi vastu. Loodud ühenduste jaoks kirjutatud reegel ei luba ühendust, mille lüüs algatab. Hoidke teenuse enda autentimine, sest tunnelist saabumine tuvastab ainult selle, millisest võrgust pakett tuli. Kliendil oma NAT-i taga ei ole endiselt vaja sissetuleva pordi edasisaatmist, sest need päringud liiguvad olemasoleva tunneli sees.

Testige uut suunda eraldi

Töötav päring kliendilt serverile ei läbi kunagi seda teed. Looge päring lüüsist ja jälgige mõlemat otsa.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Marsruudi otsing vastab, millist allikat ja liidest lüüs kasutaks, ja see on väärtus, mille poliitika peab lubama. Salvestus peaks näitama, et päring väljub ESP sees, mitte tavalise TCP-na avalikus liideses. Kliendis salvestage dekrüpteeritud liiklus, et kinnitada saabumine ja see, kas teenus vastas. Kui päring kaob ilma ESP-ta juhtmel, kahtlustage allika aadressi enne kliendi tulemüüri.

Korrake testi pärast võtmevahetust või taasühendumist, sest VIP võib muutuda. Tee, mis töötab ainult järgmise seansini, ei ole töötav tee.