XFRM-i vaikimisi marsruut neelas IKE ja ESP: hoidke välimine tee

Liiklus on kaitstud, tunnel töötab ja siis sureb see järgmisel võtmeuuendusel. Vaikimisi marsruut läbi XFRM-liidese kirjeldas liiklust, mida soovisite kaitsta. See neelas ka paketid, mida on vaja kaitse jätkamiseks.

Kaks asjaosalist sihtkohta ei ole vahetatavad. Marsruutimine peab seda otsesõnu ütlema.

Kuhu partneri otsing tegelikult jõuab

Kirjutage üles aktiivsed reeglid, XFRM-marsruuti hoidv tabel ja partneri avalik aadress. Seejärel vaadake teed, mille välimine ühendus oma tegeliku allika ja märgisega läbiks. Üldine sihtkoht ei ütle selle juhtteega midagi. Kasuliku vastuse annavad ainult tegelik allikas ja märgis.

Edukas esmane ühendus tõestab samuti vähe. Tõrge ilmneb sageli pärast seda, kui marsruudi paigaldamine vastust muudab. Käivitamine õnnestub, seejärel esimene uuendus mitte.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Kui partneri otsing leiab XFRM-liidese, suunatakse välimised paketid tunnelisse, mille nad ise ehitavad. See ongi silmus, nähtav ühe käsuga.

Välistamise valikud kaasaegsel lüüsil

strongSwan-i marsruudipõhise VPN-i dokumentatsioon esitab kaks praktilist vastust. Üks märgistab IKE ja ESP, et XFRM-tabelile osutav reegel neile ei rakenduks. Teine jätab partneri marsruudi või välistuse, milleni otsing veel jõuab.

Valige see, mida teie reeglistik suudab kõrvalmõjudeta väljendada. Märgis on puhas, kui ülejäänud virn kasutab juba märgiseid. See on oht, kui sama mask tähendab teises reeglis midagi muud. Mõlemad paketitüübid vajavad töötlemist igal juhul.

Ainult IKE märgistamine jätab andmepaketid tabatud teele. See loob tunneli, mis teeb käepigistuse ja ei kanna seejärel midagi.

Märgis on üks bitt paketi fwmark-väljas, mida miski muu lüüsil ei nõua: 0x1 maskiga 0x1 on tavaline valik ja see tuleb seada kahes kohas, et välistamine töötaks. Charon vajab seda IKE-pesas ja lapsühenduse sissetuleva ja väljuva märgise seaded vajavad sama väärtust, et ka kapseldatud paketid väljuksid märgistatult. Mask 0x1, mitte 0xffffffff, jätab ülejäänud bitid vabaks, mis loeb siis, kui teine alamsüsteem juba märgistab pakette samas hostis. Kui mõlemad on seatud, kirjutatakse reegel välistusena, nii et märgistatud paketid jätavad XFRM-marsruuti hoidva tabeli vahele ja langevad peamisse tabelisse:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Seejärel lugege vastust rakendatud märgisega. Ilma selleta uurite teed, mida kaitstud liiklus läbib, mis on selle jaotise küsimuse vastand.

Mida automaatne paigaldamine ehituse kohta eeldab

XFRM-liidese automaatne marsruudi paigaldamine sõltub strongSwan-i versioonist ja selle konfiguratsioonist. Liidese ID, paigaldatud poliitika ja assotsiatsioon peavad kõik osutama kavandatud objektidele. Lahknevus ilmneb marsruudina, mis osutab vaikselt kuhugi reaalsesse kohta.

Tabelinumbri või märgisemaski kopeerimine teiselt lüüsilt on viis, kuidas konfliktid algavad. Kõigepealt kontrollige, mis seda juba kasutab. Konflikt mõjutab liiklust palju kaugemal kui tunnel, mida soovisite muuta, ja sümptom osutab harva koopiale.

Partneri aadressi muudatused kuuluvad projekteerimisse. Hostimarsruut eilse aadressi jaoks ei ole lõpp-punkti taastamise plaan, samas kui märgis elab selle muudatuse üle.

Jälgige esimest uuendust

Kontrollige välimist teed pärast kaitstud marsruutide paigaldamist, mitte enne. Seejärel jälgige järgmist uuendust ja üht rakenduse vahetust. Tõrge ilmneb tavaliselt sellel üleminekul, mitte käivitamisel.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Kaitstud vaikimisi marsruudi ajutine eemaldamine taastab tavaliselt ühenduvuse. See tulemus on diagnostiline, mitte lõplik.

Eesmärk on stabiilne jaotus sisemise liikluse ja seda kandvate välimiste pakettide vahel. Kirjutage valitud mehhanism ja selle tabel või märgis lüüsi märkmetesse. Muidu toob järgmine reeglite puutuja silmuse tagasi.