IPsec azpisare anitzekin itzulerako trafikoa galtzen du? Zenbatu reqid-ak
Azpisare anitzeko tunelean norabide bakarreko trafikoa normalean politika eta reqid desadostasuna da, ez enkriptatzea edo bideratzea. Irakurri xfrm datu-baseak ordenan.
Trafikoak gune bat uzten du eta ez da inoiz itzultzen, bi atebideek negoziazio amaituta dutela jakinarazten dute, eta arrasto bakarra erantzunik gabeko irteerako paketeen pila da. Linux muturreko puntu batean, ohiko arrazoia ez da enkriptatzearen indarra, MTUa edo bideratze-taula. Politika-sarreren granularitatea eta politika bakoitza segurtasun-elkarte batekin lotzen duen zenbakia dira. Beheko prozedurak bi datu-base horiek irakurtzen ditu beste ezer ukitu aurretik.
Bereizi sintoma ezer aldatu aurretik
Negoziazio IKEa amaituta duen norabide bakarreko hutsegite batek arazoa datu-bidera murrizten du. Edo irteerako politikak bat egin zuen eta erantzuna baztertu zen, edo erantzuna ez zen inoiz iritsi beste aldeak hura bidaltzeko ezer ez zuelako. Aplikazio batetik biak berdin ikusten dira, eta xfrm datu-baseek bereizten dituzte.
Ez hasi MTUarekin. MTU okerrak geldialdiak eta zatiketa-sintomak sortzen ditu, ez norabide banaketa garbia irteerako kontagailuak igoz.
Irakurri politika-datu-basea eta egoera-datu-basea
Linuxen enkriptatzea politika-sarrerek erabakitzen dute, beraz bat datorren politika batek, ez bide batek, sartzen du paketea tunelean. Exekutatu ip xfrm policy sarrera bakoitzaren hautatzaileak, norabidea, lehentasuna eta txantiloia ikusteko, eta ip xfrm state ezarritako elkarteak beren reqid-ekin ikusteko. Politika eta elkartea reqid horren bidez lotzen dira.
Begiratu hiru norabideei. Irteerak eta sarrerek host honetara eta hemendik doazen trafikoa hartzen dute; aurreranzko norabidea garrantzitsua da hostak beste batzuentzat bideratzen duenean. Norabide batean falta den edo bat ez datorren sarrera batek norabide bakarreko emaitza azaltzen du kriptografia-hutsegite ororik gabe.
Asimetria klasikoa: reqid bakarra hainbat azpisareko
Hutsegite arrunta negoziatutako azpisare guztien politikak reqid bakar baten pean instalatzen dituen kide batetik dator, racoonen generate_policy require-rekin gertatzen dena. Trafikoak orduan azkenik ezarritako elkartearen bidez irteten du, eta beste aldeak azpisare bakoitzeko elkarte bereizi bat gordetzen du. Erantzunak reqid-ak onartu beharko lituzkeen politika adierazten ez duen elkarte batera iristen dira, eta kernelak deszifratu ondoren botatzen ditu.
Konponbidea konfigurazio-aldaketa da, ez suebakiko araua: generate_policy unique;-ek politika bakoitzari bere reqid-a ematen dio, beraz kidearen politika bakoitzeko elkarteek parekide egokiak dituzte. Aplikatu, negoziatu berriro, eta zenbatu espero dituzun azpisareen reqid ezberdinak arrakasta aldarrikatu aurretik.
Bi azpisarek reqid bat partekatzen badute beste aldeak bi espero dituenean, asimetria aurkitu duzu. Idatzi mapaketa, hurrengo aldaketak konpondu edo mantendu zuenaren froga baita.
Hautatzaileak negoziaziotik datoz, ez zure konfiguraziotik
Babestutako tarteak bi muturrek adostu zituztenak dira, ez alde batek eskatu zituenak. Host pare bat urrutiko tarte zabal baten aurka eskaintzen duen bezeroak atebidearen bertsio estua jasotzen du, eta bezeroak ezin du zabaldu. Irakurri instalatutako hautatzaileak, ez zure fitxategi lokalekoak.
Helburua kontrakoa denean, helmuga bat tuneletik kanpo edukitzea, gehitu saihesbide-politika bat lehentasun-zenbaki txikiagoarekin, automatikoki instalatutako sarrera gaindi dezan. Txantiloirik gabeko politika batek testu arrunta baimetzen du, eta horrek aldaketa-erregistro baterako salbuespen nahita egina bihurtzen du, arazketa-pauso bat izan beharrean.
Egiaztatu ordena honetan, eta jakin nola atzera egin
Zerrendatu azpisare bakoitzeko politikak bi norabideetan, aurreranzkoa barne hostak bideratzen badu. Zenbatu reqid ezberdinak eta baieztatu bat politika bakoitzeko hura espero duen aldean. Konparatu instalatutako hautatzaileak negoziatuekin. Irakurri berriro elkarte bakoitzeko kontagailuak gakoa berritu ondoren, aztertu duzun elkartea jada desagertu baitaiteke. Egiaztatu bideak azkenik, urrutiko azpisarera doan bide bat faltak antzeko norabide bakarreko sintoma sortzen baitu politika-kontagailu garbiekin.
Kidea aldatu aurretik, gorde bi xfrm komandoen uneko irteera. Ezarpen berriak itzulerako norabidea leheneratzen ez badu, irteera hori leheneratzea tuneletik memoriatik berreraikitzea baino atzera-egite azkarragoa da, eta konparazioa zintzo mantentzen du.