strongSwanen trap modua: zergatik IPsec tunela trafikoaren zain dagoen

Eskaripeko IPsec tunel inaktibo batek ez du CHILD SArik erakusten pakete bat bere trap politikarekin bat etorri arte. Irakurri egoera, egiaztatu eragilea eta jakin noiz datorren ongi start.

Ez da CHILD SArik agertzen egoera-irteeran, tunela hilda dirudi, eta gero urrutiko azpisareko ping batek altxatzen du. Eskaripeko IPsec ezarpen batean sekuentzia hori diseinua da, ez akatsa. Trap politika batek hautatzailea instalatzen du eta zain geratzen da, eta harekin bat egiten duen lehen paketeak abiarazten ditu IKE eta CHILD SA negoziazioa.

Nahastearen zati bat hiztegikoa da: «up» bi egoera ezberdinetarako erabiltzen da. Konfigurazioa kargatuta dago eta kernelaren politika existitzen da, baina datu-elkartea ez. SA aktiboak bakarrik zenbatzen dituen monitor batek gune osasuntsu bat beherago gisa emango du, inork hara trafikorik bidaltzen ez duen bitartean.

Eskaripeko tunel inaktibo batek ez du CHILD SArik erakusteko

Trap sarrera batek ez du ezer autentifikatzen berez. Kernelari eskatzen dio hautatutako trafikorako politika bat mantentzeko eta acquisition bat altxatzeko pakete batek politika hori behar duenean. Daemonak acquisitiona jasotzen du, child definizioarekin parekatzen du eta handik negoziatzen du. Une horretara arte ez dago IKE SArik ere erakusteko, eta horregatik bi zerrendak aldi berean egon daitezke hutsik.

Ordena horrek egiten ditu logak irakurgarri. Lehenik acquisitiona dator, gero IKE_SA_INIT eta IKE_AUTH, gero CHILD SA. Loga acquisitionaren ondoren berehala amaitzen bada, eragileak funtzionatu du. Negoziazioak huts egin du, eta hurrengo galdera kredentzial, proposamen edo irisgarritasunari buruzkoa da, ez trapari buruzkoa.

Linux kernel backendarekin politika ikus dezakezu SArik existitu aurretik. Exekutatu ip xfrm policy eta bilatu out norabidea eta konexiora seinalatzen duen txantiloi bat dituen hautatzailea. Sarrera hori eskaripeko egoera da, eta haren presentzia da lehenengo egiaztatu beharrekoa.

start_actionek erabakitzen du ea ezer itxarongo duen

Child bakoitzak swanctl.conf darama start_action. start konfigurazioa kargatzean abiarazten da, trap politika instalatzen du eta zain geratzen da, eta none abiaraztea beste zerbaiti uzten dio. Bakarrik trap sortzen du goian deskribatutako «ping eta igotzen da» portaera.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Bi trafiko hautatzaileek definitzen dute zer den interesgarri, eta prefijo horietatik kanpoko ostalari baten paketeak ez du trapa pizten; ohikoa den bezala bideratzen da. Hautatzaileak zabaltzeak eragilea gogotsuago egiteko tunelak babesten duela dioen esparrua ere zabaltzen du, beraz benetan zifratu nahi duzun trafikotik eratorri itzazu.

swanctl.conf erreferentzia onartutako balioak zerrendatzen ditu, close eta DPD ekintza bereiziekin batera, SA existitzen denetik aurrera zer gertatzen den gobernatzen dutenak.

Ezagutu ea eragileak funtzionatu duen

Hasi swanctl --list-conns erabiliz eta egiaztatu child zure asmoa zen ekintzarekin kargatu dela. Ondoren, bidali pakete bat local_ts barruan dagoen ostalari batetik remote_ts barruan dagoen helbide batera eta behatu swanctl --list-sas. Irteera aldatzen ez bada, ez da acquisitionik daemonera iritsi.

Trap isil baten bi arrazoi arrunt: paketea source-NAT bidez pasa zen politikara iritsi aurretik eta jada ez dator bat local_ts (rekin), edo konexioa ez zen inoiz kargatu sintaxi edo kredentzial errore baten ondorioz. Exekutatu berriro swanctl --load-all eta irakurri haren irteera hautatzaileei ukitu aurretik. Kargatu ez zen konexio batek ez du politikarik instalatzen, beraz ez dago trafikoak pizteko ezer.

Norabideak ere badu garrantzia: kanporako trafikoarentzat instalatutako trap batek ez du sartzen den pakete batekin abiarazten. Urruneko aldeak tunela altxatu behar badu, bere trapa behar du, edo alde honek start.

Lehen paketearen zain egotea ez da beti truke zuzena

Sesio interaktiboek instalazioaren kostua nabaritzen dute. Lehen eskaerak IKE trukea eta CHILD negoziazioa ordaintzen ditu, eta epe laburreko bezero batek amore eman dezake SA existitu aurretik. Proaktiboak start lehen paketeko atzerapena kentzen du. Baina inoiz iritsiko ez den trafikoarentzat tunela altxatuta edukitzen du.

Hiru faktuk erabakitzen dute aukera: bidea zenbatetan erabiltzen den, lehen eskaerak epe estua duen eta peer-a abioan irisgarria den. Noizean behingo sorta-trafikoak eta abioan lineaz kanpo egon daitekeen peer-ak biak mesede egiten diote trap. Latentziarekiko sentikorra den bezeroak eta beti irisgarria den peer-ak mesede egiten diote start. Bi aldeek abiarazi badezakete, adostu nork duen eragilea negoziazio bikoizturik izan ez dezazun.

Instalatutako politika ez da ihesen aurkako bermea ere. Baldintza fail-closed bada, suebakiak SArik gabeko trafikoa bota behar du, eta arau hori child definiziotik kanpo bizi da.

Idatzi hurrengo eztabaida amaituko duten hiru lerroak

Idatzi hautatzaileak, abio-ekintza eta politikaren presentzia SArik gabe erakusten duen komando-irteera. Hiru lerro horiek «eskaripean eta inaktibo» eta «ez da kargatzen» bereizten dituzte hurrengoan norbaitek tunela behera dagoela salatzen duenean. Minutu bat kostatzen da haiek jasotzea. Haiek gabe, ikerketa bera hutsetik hasten da.

Probatu hautatzailearen barruan benetan dagoen ostalari batetik. Router beretik egindako ping batek beste bide bat hartzen du sarritan eta ez du ezer frogatzen atzean dagoen azpisarea babesten duen politikari buruz.

Erlazionatutako artikuluak