IPsec politikak zure tokiko trafikoa irentsi du: nola antzeman

Mahai gaineko inprimagailuak erantzuteari uzten dio tunela igotzen den unean, eta tunelaren konfigurazioan ez da inprimagailurik aipatzen. Normalean gertatu dena da babestutako barruti bat inprimagailua barne hartzeko adina zabal idatzi zela, beraz makinak orain tokiko segmentuan geratu behar zuen trafikoa zifratzen saiatzen da. Instalatutako politika irakurtzeak atzemate hori azaltzen du; leku egokian murrizteak urrutiko trafikoa babestuta mantentzen du. Hutsegindako eskaeratik bat datorren politikara arteko bideak minutu batzuk behar ditu.

Jarraitu fluxua hautatzailea aldatu aurretik

Hasi hutsegindako eskaeratik eta idatzi lau balio: makinak erabiltzen duen iturburu-helbidea, helmuga zehatza, kernelak aukeratzen duen bidea eta bikote horri dagokion politika.

Lau gertaerek erabakitzen dute atzematea nahita ala ustekabean gertatu den. Urrutiko hautatzailearen barruan erortzen den helmuga diseinuaren arabera babestuta dago, diseinua okerra izan bazen ere. Hautatzailetik kanpo egon arren harrapatzen den helmugak beste zerbait dagoela bat datorrela esan nahi du, eta hautatzailea aldatzeak ez du lagunduko. Bi kasuak ohikoak dira, eta agindu bakar batek bereizten ditu.

Egin hau edozer editatu aurretik, kasu interesgarria konexioak babesten duen barruti pribatuarekin gainjartzen den tokiko azpisarea baita. 192.168.0.0/16 bezalako aurrizki ezagunak sare askotan agertzen dira, eta horietako batentzat idatzitako hautatzaile batek zurea isilpean estal dezake.

Desberdin jokatzen duten hiru tokiko mota

Ostalarri honi esleitutako helmuga, esteka berean dagoen helmuga eta beste interfaze baten atzean dagoen helmuga hiru kasu desberdin dira. Kernelak bakoitza modu desberdinean tratatzen du trafikoak babesa behar duen ala ez erabakitzean.

Ateak berak sortutako trafikoa ere ez da bezero batetik birbidalitako trafikoaren berbera. Birbidalitako trafikoarentzat zuzena dirudien politika batek atearen beraren kudeaketa-saioa harrapa dezake, eta horrela galtzen du administrariak sarbidea tunela konpontzen ari den bitartean.

Ohitura erabilgarria kasua ozen izendatzea da: pakete hau niregandik dator, nire estekara doa edo nire bidez pasatzen da? Erantzun bakoitzak murrizteko leku desberdin bat seinalatzen du. Kasua idazteak hurrengo pertsonari lan bera berriz egitea ere eragozten dio.

Babestutako barrutia espazio pribatu osoa denean, hiru kasuak aldi berean eror daitezke bertan, eta sintoma tunelaren amaierako puntua besterik lortzen ez duen makina bihurtzen da.

Irakurri instalatutako politika, ez fitxategia

Konfigurazio-fitxategiek asmoa deskribatzen dute; kernelak benetan bat datozen politikak gordetzen ditu. Erakutsi biak eta tratatu desadostasuna lehen aurkikuntza gisa.

Agindu hauek helmugarako aukeratutako bidea eta noranzko bakoitzean instalatutako politikak erakusten dituzte:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Bideak paketeak zein interfaze erabiliko lukeen esaten dizu. Politiken zerrendak pakete horri gero txantiloi bat aplikatuko zaion esaten dizu, eta konexioen zerrendak daemonak zein hautatzaile instalatu dituela uste duen erakusten du. Helmuga urrutiko hautatzaile batean agertzen bada, atzematea asmatu gabe aurkitu duzu.

Murriztu hautatzailea edo saihestu helmuga

Bi konponketa onartzen dira eta galdera desberdinei erantzuten diete. Hautatzailea murrizteak konexio honek barruti txikiagoa baino ez duela babesten esaten du, hau zuzena da barruti zabalagoa akatsa zenean. Saihesbide bat gehitzeak helmuga zehatz hau inoiz babestu behar ez dela esaten du, hau zuzena da babestutako barrutia benetan zabala denean eta helmuga bat salbuespena denean.

Aukeratu lehenengoa ahal duzunean, hautatzaile txikiagoa errazagoa delako arrazoitzeko eta konexioaren definizioan agertzen delako. Aukeratu bigarrena barruti zabala nahita denean eta salbuespena izenda dezakezun ostalari edo azpisare bakarra denean.

Biak konexioa duen konfigurazioari dagozkio. Eskuz gehitutako exekuzio-denborako araua hurrengo berrikonexioan desagertzen da, eta hutsegitea inork aldi baterako irtenbidea gogoratzen ez duen unean itzultzen da.

Berriz instalatzean irauten duten salbuespenak

Aldaketaren ondoren, errepikatu eskaera kaltegabe bera eta begiratu kontagailu berak. Tokiko helmugak erantzun behar du, eta nahi den urrutiko helmugak zifratutako trafikoa erakusten jarraitu behar du.

Bi egiaztapen hauek salbuespenak iraun zuela eta babesak ez zuela egiaztatzen dute:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Gero deskonektatu eta berriz konektatu tunela nahita, eta errepikatu biak. Berrikonexioaren aurretik funtzionatzen duen eta ondoren huts egiten duen salbuespena geruza okerrean aplikatu da, eta hori da arazo hau itzultzeko modurik ohikoena.