IPsec-liikenteen valitsimet: mitä ne kattavat ja mitä eivät

Liikenteen valitsimet nimeävät sen sisäisen liikenteen, jota IPsec-sopimus suojaa, ja pari neuvotellaan sen sijaan että se oletettaisiin. Kaksi päätepistettä voivat todentaa toisensa täydellisesti ja olla silti eri mieltä siitä, mitkä paketit kuuluvat tunnelin sisään. Tämä erimielisyys on näkymätön yhteyden tilassa, joka yleensä ilmoittaa terveestä tunnelista. Valitsimien lukeminen molemmista päistä ja yhden kohteen seuraaminen löytää sen nopeammin kuin mikään määrä käytännön muokkaamista.

Lue ne molemmista päistä

Kukin päätepiste kuvaa oman puolensa paikalliseksi ja toisen puolen etäiseksi. Sama etuliitepari näkyy siksi kahdessa kokoonpanossa vaihdettuna, ja se on oikein, ei ristiriitaista. Näkökulman kääntäminen on ensimmäinen asia, joka pitää tehdä, kun toimiva sopimus näyttää paperilla väärältä. Kahden tiedoston vertaaminen rinnakkain ilman niiden vaihtamista tuottaa ristiriidan, jota ei ole olemassa.

Arvot eivät ole aina yksittäisiä aliverkkoja. IKEv2-valitsimet voivat kantaa osoitevälejä, protokollanumeroita ja porttivälejä, ja näin käytäntö suojaa yhtä palvelua koko verkon sijaan. Aiottua liikennettä kapeampi valitsin tuottaa tunnelin, joka kuljettaa osan kohteista ja jättää toiset hiljaisesti pois.

Kirjoita molemmat puolet yhteen taulukkoon ennen kuin muutat mitään. Harjoitus ratkaisee kysymyksen yleensä koskematta kokoonpanotiedostoon.

Kaventaminen on vastaajan päätös

Aloittaja ehdottaa, ja vastaaja voi hyväksyä vain osajoukon. IKEv2 sallii vastaajan kaventaa tarjottuja liikenteen valitsimia, ja kavennettu tulos on se, mikä tosiasiassa asennetaan. Aloittajan kokoonpanon lukeminen kuvaa siis tarjousta, ei sopimusta.

Siksi asiakkaaseen lisätty aliverkko voi tuottaa toimivan tunnelin, joka silti hylkii uuden kohteen. Palvelin kavensi tarjouksen siihen, mitä sen käytäntö sallii, kun taas asiakkaan tiedosto luettelee edelleen laajemman välin. Vain neuvoteltu tila näyttää totuuden: Linuxissa ip xfrm policy ja child SA -luettelo strongSwanin IKEv2-dokumentaatiossa ilmoittavat, mitä asennettiin, eivät mitä pyydettiin. Kun kaksi ovat eri mieltä, vastaajan käytäntö on se, jota pitää muuttaa.

Hylätty tarjous on eri oire kuin kavennettu. Hylkäys näkyy neuvottelulokissa eikä jätä lainkaan child-yhteyttä.

Seuraa yhtä kohdetta päästä päähän

Valitse todellinen kohde sekä lähdeosoite, jota asiakas käyttäisi siihen, ja seuraa sitten tätä paria kolmen riippumattoman päätöksen läpi. Reitti valitsee polun, valitsin päättää, onko polku suojattu, ja palomuuri päättää, onko paketti sallittu. Kukin voi epäonnistua itsestään, eikä leveä valitsin korjaa yhtäkään muista.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Reittikysely nimeää käyttöliittymän ja lähdeosoitteen, jotka kuljettaisivat pakettia. Käytäntöluettelo näyttää, onko tälle parille olemassa vastaava tunnelikäytäntö, mukaan lukien sen suunta ja taso. SA-luettelo näyttää neuvotellut child-valitsimet yhdessä laskureiden kanssa, joten child-yhteys, jolla on nolla pakettia liikenteen yrittämisen jälkeen, on sellaisten valitsimien allekirjoitus, jotka jättävät lähetettävän pois. Kolme komentoa, kolme eri vastausta, ja vain yksi niistä selittää hiljaisen pudotuksen.

Jos child-laskurit liikkuvat, kun sovellus edelleen epäonnistuu, ongelma on tunnelin tuolla puolen. Se siirtää tutkinnan etähovin kuuntelijaan tai palomuuriin eikä valitsimiin.

Pidä kaksi tavoitetta erillään

Toimiston aliverkon suojaaminen ja kaiken selailun lähettäminen etäpoistuman kautta ovat eri vaatimuksia eri valitsimilla. Toiselle rakennettu profiili sopii toiselle harvoin, ja niiden sekoittaminen tuottaa joko vuodon tai rikkoutuneen jaon. Suojatun välin laajentaminen tarkoittaa molempien päätepisteiden ja niiden edelleenlähetyskäytännön muuttamista, koska yksipuolinen muutos muuttuu hylätyksi tarjoukseksi. Tämä on yleisin tapa, jolla toimiva tunneli lakkaa toimimasta pienen muokkauksen jälkeen.

Valitsimet kuvaavat salauksellista kattavuutta, reitit valitsevat polkuja ja sovellukset panevat täytäntöön omat lupansa. Tunneli, joka kattaa kaiken, ei silti tavoita loopbackiin sidottua palvelua, ja tunneliin menevä reitti tarvitsee silti valitsimen, joka sisältää kohteen. Tarkista kaikki kolme samaa testipyyntöä vasten, ja ristiriita nimeää itsensä.