Miks IPsec-i turbepoliitika ei ole marsruutimistabeli kirje

Saatke ping 10.20.0.5-le läbi tunneli ja midagi ei tule tagasi, samal ajal kui marsruutimistabel väidab, et see alamvõrk on kättesaadav. Marsruutimine ja IPsec vastavad erinevatele küsimustele ning ainult üks neist puudutab kättesaadavust. Edasisuunaline otsing valib tee, seejärel otsustab turbepoliitika andmebaas, kas seda teed tuleb kaitsta, puutumata jätta või keelduda. Kui need kaks lahknevad, sureb pakett vaikselt, seega lugege neid selles järjekorras.

Alustage otsingust, mitte tabelist

Küsige tuumalt, mida see tegelikult teeks: ip route get 10.20.0.5 prindib valitud marsruudi, väljuva liidese ja allikaaadressi, mida see kasutaks. Eesliide, poliitikareegel, märgis või eelistatud allikas võivad seda vastust muuta, mistõttu võidab reaalajas otsing tabeli silmaga lugemist.

Testige sihtmärki kaitstud vahemikus, mitte lüüsi aadressi. Teisel pool asuva lüüsini jõudmine tõestab vaid, et mingi marsruut on olemas; see ei ütle midagi alamvõrgu kohta, mida tegelikult vajate. Seejärel kinnitage, et otsingu valitud liides on see, mida eeldate tunnelil kasutavat.

Sovitage valijad mõlemal pool

Poliitikaandmebaasil on oma kirjed ja igaüks nimetab suuna, allika, sihtmärgi ja protokolli ning ütleb seejärel, mida tuleb sobivate pakettidega teha. Kasutage nende loetlemiseks ip xfrm policy; lipud näitavad, kas tegevus on kaitsta, mööda minna või blokeerida. Poliitika, mille valijad on teie testvoolust laiemad või kitsamad, ei sobi sellega kokku ja pakett väljub kaitsmata. See on rike, mida otsite, mitte puuduv marsruut.

Võrrelge tegelikke väärtusi: allikas, sihtmärk, protokoll ja pordid. Kui otsing lahendas ühe aadressipaari, samal ajal kui poliitikakirje katab teist, kirjeldavad kaks vaadet erinevat liiklust. Käivitage mõlemad uuesti sama korteežiga enne järelduse tegemist, muidu muudate poliitikat, mida kunagi teel ei olnud.

Poliitika vastavus ei ole paigaldatud olek

Sobiv poliitika ütleb vaid, et paketti tuleb kaitsta; tuum vajab kaitse tegemiseks endiselt turvaassotsiatsiooni. Loetlege need käsuga ip xfrm state või käsuga swanctl --list-sas, kui läbirääkimisi teeb strongSwan, ja lugege iga kirje valijaid ja loendureid.

Kui poliitika sobib ja ükski assotsiatsioon ei kata samu valijaid, jäetakse pakett kõrvale, selle asemel et see selges tekstis saata. See on see kõrvalejätmine, mida otsida, kui tunnel töötab, aga üks alamvõrk ei toimi. Loendurid ütlevad ülejäänu: assotsiatsioon, mis kunagi ei kasva, ei olnud kunagi valitud, samas kui see, mis kasvab ja lõpeb ikkagi kõrvalejätmisega, osutab kaugemale poolele. Valijate parandamine ja võtmete uuendamine on erinevad parandused, seega otsustage, millist vajate, enne kui konfiguratsiooni puutute.

Mida marsruudipõhine tunnel ikkagi nõuab

XFRM-liides paneb tunneli näima seadmena, kuhu saab marsruutida, mis on tõesti kasulik. See ei eemalda poliitikat ja olekut, mis otsustavad, mis juhtub, kui pakett sinna jõuab. Marsruut annab järgmise hüppe ja mitte midagi enamat.

Kui seade on olemas ja marsruut osutab sellesse, samal ajal kui ükski assotsiatsioon ei vasta sisemistele valijatele, jäetakse pakett kõrvale ja ükski marsruudi redigeerimine ei tooda võtmeid ega valijaid. Kontrollige liidest sama allika ja sihtmärgiga, mille marsruutisite, seejärel võrrelge seda olekuloendiga.

Selgitage omandiõigus enne, kui midagi muudate

Host-tulemüür lisab kolmanda otsuse, millest kumbki andmebaas ei tea. Õige marsruut pluss sobiv poliitika pluss paigaldatud assotsiatsioon võivad ikkagi lõppeda kõrvalejäetud paketiga ja rakendus teatab ainult ajalõpust. Kinnitage, et tulemüür lubab kaitstud liiklust, enne kui IPsec-i süüdistate. Püüdmine tunneliseadmel ja füüsilisel liidesel näitab, kummal pool krüpteerimist pakett kadus.

Konfiguratsiooni omandiõigus otsustab, kas teie parandus jääb taaskäivituse järel püsima. Üks komponent võib olekut paigaldada, samal ajal kui teine haldab marsruute, ja teise käsitsi muudetud seade kirjutatakse üle järgmisel korral, kui tunnel üles tuleb. Muutke omavat konfiguratsiooni ja lugege siis mõlemad vaated uuesti; RFC 4301 hoiab kaks andmebaasi eraldi, kui peate jagunemist kellelegi teisele selgitama.