XFRM bide lehenetsiak IKE eta ESP irensten zituen: mantendu kanpoko bidea

Dena babesten duen politikak tunela eusten duten paketeak ere harrapa ditzake. Markatu IKE eta ESP, edo mantendu peer-era bidea.

Trafikoa babestuta dago, tunela martxan dago, eta gero hurrengo gako-berritzean hiltzen da. XFRM interfazearen bidezko bide lehenetsi batek babestu nahi zenituen trafikoa deskribatzen zuen. Babesteko beharrezkoak diren paketeak ere irensten zituen.

Inplikatutako bi helmugak ez dira trukagarriak. Bideratzeak hori esplizituki esan behar du.

Peer-aren bilaketa nora joaten den benetan

Erregistratu arau aktiboak, XFRM bidea duen taula eta peer-aren helbide publikoa. Ondoren ikusi kanpoko konexioak bere benetako iturri eta markarekin hartuko lukeen bidea. Helmuga orokor batek ez dizu ezer esaten kontrol-bide horri buruz. Benetako iturriak eta markak soilik ematen dute erantzun erabilgarria.

Hasierako konexio arrakastatsuak gutxi frogatzen du ere. Hutsegitea sarritan bidenabar instalazio batek erantzuna aldatzen duenean agertzen da. Abioa ondo ateratzen da, eta gero lehen berritzea ez.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Peer-aren bilaketa XFRM interfazean amaitzen bada, kanpoko paketeak haiek eraikitzen duten tunelera bideratzen dira. Hori da begizta, komando bakar batean ikusgai.

Kate moderno bateko bazterketa aukerak

strongSwan-en bideratzean oinarritutako VPNari buruzko dokumentazioak bi erantzun praktiko aurkezten ditu. Batek IKE eta ESP markatzen ditu XFRM taulara bideratzen duen arauak haiekin bat ez egiteko. Besteak peer-era bide edo bazterketa bat uzten du bilaketak oraindik har dezakeena.

Hartu zure arau-multzoak ondorio kaltegarririk gabe adieraz dezakeena. Marka garbia da gainerako stackak markak erabiltzen baditu. Arriskutsua da maskara berak beste arau batean beste zerbait esan nahi duenean. Bi pakete motek tratamendua behar dute edonola.

IKE bakarrik markatzeak datu-paketeak harrapatutako bidean uzten ditu. Horrek eskua eman eta gero ezer eramaten ez duen tunela sortzen du.

Marka paketearen fwmarkean gatewayan beste ezerk aldarrikatzen ez duen bit bat da: 0x1 0x1 maskararekin ohiko aukera da, eta bi tokitan ezarri behar da bazterketak lan egin dezan. Charonek IKE socketan behar du, eta child konexioaren sarrerako eta irteerako marka-ezarpenek balio bera behar dute kapsulatutako paketeak ere markatuta irten daitezen. 0x1 maskarak, 0xffffffff ordez, gainerako bitak libre uzten ditu, eta hori garrantzitsua da beste azpisistema batek jada paketeak markatzen dituenean host berean. Biak ezarrita, araua bazterketa gisa idazten da, beraz markatutako paketeek XFRM bidea duen taula saltatu eta taula nagusira erortzen dira:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Ondoren irakurri erantzuna marka aplikatuta. Hori gabe babestutako trafikoak hartzen duen bidea aztertzen duzu, eta hori atal honek egiten duen galderaren kontrakoa da.

Zer suposatzen du instalazio automatikoak eraikuntzaz

XFRM interfaze baterako bide-instalazio automatikoa strongSwan bertsioaren eta haren konfigurazioaren araberakoa da. Interfazearen IDak, instalatutako politikak eta asoziazioak inplikatutako objektuei erreferentzia egin behar diete. Desadostasuna isilka toki errealean seinalatzen duen bide gisa agertzen da.

Beste gateway batetik taula-zenbaki edo marka-maskara bat kopiatzea horrela hasten dira talkak. Egiaztatu lehenago zer ari den jada erabiltzen. Talka batek aldatu nahi zenuen tunelaren askoz haratago eragiten du, eta sintomak gutxitan seinalatzen du kopia.

Peer-aren helbide-aldaketak diseinuaren parte dira. Atzoko helbiderako host bide bat ez da muturreko puntuaren berreskuratze-plana, marka batek aldaketa hori gainditzen duen bitartean.

Begiratu lehen berritzea

Egiaztatu kanpoko bidea bide babestuak instalatu ondoren, ez lehenago. Ondoren begiratu hurrengo berritzea eta aplikazio-truke bat. Hutsegitea trantsizio horretan agertu ohi da, ez abioan.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Babestutako bide lehenetsia aldi baterako kentzeak konektibitatea leheneratzen du normalean. Emaitza hori diagnostikoa da, ez behin betikoa.

Helburua barne-trafikoaren eta hura daramaten kanpoko paketeen arteko banaketa egonkorra da. Idatzi aukeratutako mekanismoa eta haren taula edo marka gatewayaren oharretan. Bestela, arauak ukitzen dituen hurrengo pertsonak begizta berriz sartuko du.

Erlazionatutako artikuluak