Zergatik IPsec segurtasun-politika bat ez den bideratze-taularen sarrera bat

Egin ping 10.20.0.5-era tuneletik eta ez da ezer itzultzen, bideratze-taulak azpisare hori irisgarria dela dioen bitartean. Bideratzeak eta IPsec-ek galdera desberdinei erantzuten diete, eta horietako bat bakarrik da irisgarritasunari buruzkoa. Aurreranzko bilaketak bide bat aukeratzen du, gero segurtasun-politikaren datu-baseak erabakitzen du bide hori babestu, horrela utzi edo ukatu behar den. Biak bat ez datozenean, paketea isilik hiltzen da, beraz, irakurri itzazu ordena horretan.

Hasi bilaketarekin, ez taularekin

Galdetu nukleoari zer egingo lukeen benetan: ip route get 10.20.0.5 komandoak aukeratutako ibilbidea, irteerako interfazea eta erabiliko lukeen iturburu-helbidea inprimatzen ditu. Aurrizki batek, politika-arau batek, marka batek edo iturburu hobetsi batek erantzun hori alda dezakete, eta horregatik zuzeneko bilaketak taula begiz irakurtzea baino gehiago balio du.

Probatu babestutako barrutiaren barneko helmuga bat, ez atariaren helbidea. Beste aldeko ataria iristeak ibilbide bat badagoela frogatzen du soilik; ez du ezer esaten benetan behar duzun azpisareari buruz. Gero egiaztatu bilaketak aukeratutako interfazea tunelak erabiliko duela espero duzun hori dela.

Bat etorri hautatzaileak bi aldeetan

Politika-datu-baseak bere sarrerak ditu, eta bakoitzak norabide bat, iturburu bat, helmuga bat eta protokolo bat izendatzen ditu, eta gero esaten du zer gertatu behar den bat datozen paketeei. Erabili ip xfrm policy horiek zerrendatzeko; banderek erakusten dute ekintza babestea, saihestea edo blokeatzea den. Hautatzaileak zure probako fluxua baino zabalagoak edo estuagoak dituen politika batek ez du harekin bat egingo, eta paketea babesik gabe irteten da. Hori da bilatzen ari zaren hutsegitea, ez falta den ibilbide bat.

Konparatu benetako balioak: iturburua, helmuga, protokoloa eta portuak. Bilaketak helbide-pare bat ebazten badu politikaren sarrerak beste bat estaltzen duen bitartean, bi ikuspeviek trafiko desberdina deskribatzen dute. Exekutatu biak tuple berarekin ondorioa atera aurretik, bestela inoiz bidean egon ez zen politika bat editatzeko arriskua duzu.

Politikaren bat-etortzea ez da instalatutako egoera

Bat datorren politika batek paketea babestu behar dela esaten du soilik; nukleoak oraindik segurtasun-asoziazio bat behar du babesa egiteko. Zerrendatu itzazu ip xfrm state-rekin, edo swanctl --list-sas-ekin strongSwan-ek negoziazioa egiten duenean, eta irakurri sarrera bakoitzaren hautatzaileak eta kontagailuak.

Politika bat bat datorrenean eta asoziazio batek hautatzaile berak estaltzen ez dituenean, paketea baztertu egiten da testu argian bidali beharrean. Hori da tunela martxan dagoenean baina azpisare bakarra huts egiten duenean bilatu beharreko baztertzea. Kontagailuek gainerakoa esaten dute: inoiz handitzen ez den asoziazio bat inoiz ez zen hautatu, eta handitu eta hala ere baztertze batean amaitzen dena urruneko aldera seinalatzen du. Hautatzaileak zuzentzea eta gakoak berritzea konponketa desberdinak dira, beraz, erabaki zein behar duzun konfigurazioa ukitu aurretik.

Ibilbidean oinarritutako tunel batek oraindik behar duena

XFRM interfaze batek tunela bidera dezakezun gailu baten antza izatea lortzen du, eta hori benetan erabilgarria da. Ez du kentzen paketea hara iritsitakoan zer gertatzen den erabakitzen duten politika eta egoera. Ibilbideak hurrengo jauzi bat ematen du eta ez gehiago.

Gailua badago eta ibilbideak hara seinalatzen badu, baina asoziazio batek ere barneko hautatzaileekin bat egiten ez badu, paketea baztertu egiten da, eta ibilbideak editatzeko kopuruak ez du gakorik edo hautatzailerik sortzen. Egiaztatu interfazea bideratu duzun iturburu eta helmuga berberekin, eta gero alderatu hori egoera-zerrendarekin.

Argitu jabetza ezer editatu aurretik

Ostalariaren suebakiak bi datu-baseek ezagutzen ez duten hirugarren erabaki bat gehitzen du. Ibilbide zuzen batek gehi bat datorren politikak gehi instalatutako asoziazioak oraindik baztertutako pakete batean amaitu dezakete, eta aplikazioak denbora-muga besterik ez du jakinarazten. Egiaztatu suebakiak babestutako trafikoa onartzen duela IPsec-i errua bota aurretik. Tuneleko gailuan eta interfaze fisikoan harrapatzeak erakusten du zifratzearen zein aldetan desagertu zen paketea.

Konfigurazioaren jabetzak erabakitzen du zure konponketak berrabiaraztea gaindituko duen. Osagai batek egoera instala dezake beste batek ibilbideak kudeatzen dituen bitartean, eta bigarrenean eskuz egindako aldaketa tunela hurrengoan altxatzen denean gainidazten da. Aldatu jabe den konfigurazioa eta gero irakurri berriro bi ikuspegiak; RFC 4301 bi datu-baseak bereizita mantentzen ditu zatiketa beste norbaiti azaldu behar diozunean.