IPsec trafiko hautatzaileak: zer estaltzen dute eta zer ez

Trafiko hautatzaileek IPsec akordio batek babesten duen barne trafikoari izena ematen diote, eta bikotea negoziatu egiten da, ez da suposatzen. Bi muturrek elkar ezin hobeto autentifikatu dezakete eta oraindik ados ez egon zein pakete sartzen diren tunelean. Desadostasun hori konexioaren egoeran ikusezina da, eta horrek normalean tunel osasuntsu bat jakinarazten du. Hautatzaileak bi muturretatik irakurtzeak eta gero helmuga bat jarraitzeak edozein politika-editatze baino azkarrago aurkitzen du.

Irakurri bi muturretatik

Mutur bakoitzak bere aldea lokaltzat deskribatzen du eta beste aldea urruntzat. Beraz, prefijo-bikote bera trukatuta agertzen da bi konfigurazioetan, eta hori zuzena da, ez kontraesankorra. Perspektiba alderantzikatzea da lehenengo gauza, funtzionatzen duen akordio bat paperean okerra dirudienean. Bi fitxategi elkarren ondoan alderatzeak, haiek trukatu gabe, existitzen ez den desadostasun bat sortzen du.

Balioak ez dira beti azpisare bakarrak. IKEv2 hautatzaileek helbide-tarteak, protokolo-zenbakiak eta portu-tarteak eraman ditzakete, eta horrela politika batek zerbitzu bat babesten du sare osoaren ordez. Aurreikusitako trafikoak baino estuagoa den hautatzaileak tunel bat sortzen du, helmuga batzuk eramaten dituena eta beste batzuk isilpean baztertzen dituena.

Idatzi bi aldeak taula bakarrean ezer aldatu aurretik. Ariketak normalean galdera konpontzen du konfigurazio-fitxategirik ukitu gabe.

Estutzea erantzulearen erabakia da

Hastekoak proposatzen du, eta erantzuleak azpimultzo bat baino ezin du onartu. IKEv2k erantzuleari eskainitako trafiko hautatzaileak estutzea ahalbidetzen dio, eta estututako emaitza da benetan instalatzen dena. Beraz, hastekoaren konfigurazioa irakurtzeak eskaintza bat deskribatzen du, ez akordioa.

Horregatik, bezeroari gehitutako azpisare batek funtzionatzen duen tunel bat sor dezake, helmuga berria oraindik ukatzen duena. Zerbitzariak eskaintza estutu zuen bere politikak onartzen duenera, eta bezeroaren fitxategiak oraindik tarte zabalagoa zerrendatzen du. Negoziatutako egoerak bakarrik erakusten du egia: Linuxen, ip xfrm policy eta child SA zerrendak strongSwanen IKEv2 dokumentazioan instalatu zena jakinarazten dute, ez eskatu zena. Biak bat ez datozenean, erantzulearen politika da aldatu behar dena.

Ukatutako eskaintza estututako bat ez den beste sintoma bat da. Ukapenak negoziazio-erregistroan agertzen dira eta ez dute child elkarterik uzten.

Jarraitu helmuga bat hasieratik amaierara

Aukeratu benetako helmuga bat gehi bezeroak hartarako erabiliko lukeen iturburu-helbidea, eta gero jarraitu bikote hori hiru erabaki independenteren bidez. Ibilbideak bide bat aukeratzen du, hautatzaileak bide hori babestuta dagoen erabakitzen du, eta suebakiak paketea onartuta dagoen erabakitzen du. Bakoitzak bere kabuz huts egin dezake, eta hautatzaile zabal batek ez du besteetako bat ere konpontzen.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Ibilbide-kontsultak paketea eramango luketen interfazea eta iturburu-helbidea izendatzen ditu. Politika-zerrendak bikote horretarako tunel-politika egokirik badagoen erakusten du, bere norabidea eta maila barne. SA zerrendak negoziatutako child hautatzaileak erakusten ditu kontagailuekin batera, beraz, trafikoa saiatu ondoren zero pakete dituen child elkarte bat bidaltzen dena baztertzen duten hautatzaileen sinadura da. Hiru komando, hiru erantzun desberdin, eta horietako batek bakarrik azaltzen du isilpeko galera bat.

Child kontagailuak mugitzen badira aplikazioak oraindik huts egiten duen bitartean, arazoa tuneletik harago dago. Horrek ikerketa urruneko ostalariaren entzule edo suebakira eramaten du, ez hautatzaileetara.

Eduki bi helburuak bereizita

Bulegoko azpisare bat babestea eta nabigazio guztia urruneko irteera batetik bidaltzea baldintza desberdinak dira, hautatzaile desberdinekin. Baterako eraikitako profilak gutxitan balio du bestearentzat, eta biak nahasteak isuri bat edo banaketa hautsia sortzen du. Babestutako tartea zabaltzeak bi muturrak eta haien birbidaltze-politika aldatzea esan nahi du, alde bakarreko aldaketa eskaintza ukatua bihurtzen delako. Hori da tunel batek funtzionatzeari uzten dion modurik ohikoena edizio txiki baten ondoren.

Hautatzaileek estaldura kriptografikoa deskribatzen dute, ibilbideek bideak aukeratzen dituzte, eta aplikazioek beren baimenak ezartzen dituzte. Dena estaltzen duen tunel batek ezin ditu oraindik loopback-era lotutako zerbitzu bat iritsi, eta tunelean sartzeko ibilbide batek oraindik helmuga barne hartzen duen hautatzaile bat behar du. Egiaztatu hirurak proba-eskaera beraren aurka, eta desadostasunak bere burua izendatuko du.