IPsec usealla aliverkolla kadottaa paluuliikenteen? Laske reqidit

Liikenne lähtee toisesta paikasta eikä tule koskaan takaisin, molemmat yhdyskäytävät ilmoittavat valmiista neuvottelusta, ja ainoa vihje on kasa vastauksettomia lähteviä paketteja. Linux-päätepisteessä tavallinen syy ei ole salauksen vahvuus, MTU tai reititystaulu. Se on politiikkamerkintöjen rakeisuus ja numero, joka sitoo kunkin politiikan turva-assosiaatioon. Alla oleva menettely lukee nämä kaksi tietokantaa ennen kuin mihinkään muuhun kosketaan.

Erottele oire ennen kuin muutat mitään

Yksisuuntainen vika valmiin IKE-neuvottelun kanssa rajaa ongelman datapolulle. Joko lähtevä politiikka täsmäsi ja vastaus hylättiin, tai vastaus ei koskaan saapunut, koska toisella puolella ei ollut mitään, millä lähettää se. Sovelluksesta molemmat näyttävät samalta, ja xfrm-tietokannat erottavat ne.

Älä aloita MTU:sta. Väärä MTU aiheuttaa jumituksia ja pirstoutumisoireita, ei puhdasta suunnan jakoa kasvavilla lähtevillä laskureilla.

Lue politiikkatietokanta ja tilatietokanta

Linuxissa salauksesta päättävät politiikkamerkinnät, joten täsmäävä politiikka, ei reitti, vie paketin tunneliin. Suorita ip xfrm policy nähdäksesi valitsimet, suunnan, prioriteetin ja mallin jokaisesta merkinnästä, ja ip xfrm state nähdäksesi muodostetut assosiaatiot reqideineen. Politiikka ja assosiaatio yhdistetään tuolla reqidillä.

Katso kaikkia kolmea suuntaa. Lähtevä ja saapuva kattavat liikenteen tähän isäntään ja siitä; edelleenlähetyssuunta on merkityksellinen, kun isäntä reitittää muiden puolesta. Puuttuva tai poikkeava merkintä yhdessä suunnassa selittää yksisuuntaisen tuloksen ilman mitään salausvirhettä.

Klassinen epäsymmetria: yksi reqid usealle aliverkolle

Yleinen vika tulee kumppanilta, joka asentaa kaikkien neuvoteltujen aliverkkojen politiikat yhden reqidin alle, mitä tapahtuu racoonin generate_policy require:lla. Liikenne lähtee silloin viimeksi muodostetun assosiaation kautta, kun toinen puoli pitää erillistä assosiaatiota jokaista aliverkkoa kohti. Vastaukset saapuvat assosiaatiolle, jonka reqid ei osoita politiikkaa, jonka pitäisi hyväksyä ne, ja ydin hylkää ne salauksen purkamisen jälkeen.

Korjaus on asetusmuutos, ei palomuurisääntö: generate_policy unique; antaa jokaiselle politiikalle oman reqidin, joten kumppanin politiikkakohtaisilla assosiaatioilla on vastaavat parit. Ota se käyttöön, neuvottele uudelleen ja laske erilliset reqidit odotetuille aliverkoille ennen kuin julistat onnistumisen.

Jos kaksi aliverkkoa jakaa edelleen reqidin, vaikka toinen puoli odottaa kahta, olet löytänyt epäsymmetrian. Kirjaa kuvaus, sillä se on todiste siitä, korjasiko seuraava muutos sen vai säilyttikö se sen.

Valitsimet tulevat neuvottelusta, eivät asetuksistasi

Suojatut alueet ovat se, mistä molemmat päät sopivat, ei se, mitä jokin puoli pyysi. Asiakas, joka tarjoaa isäntäparia laajaa etäaluetta vastaan, saa yhdyskäytävän kavennetun version, eikä asiakas voi laajentaa sitä. Lue asennetut valitsimet sen sijaan, että lukisit paikallisen tiedostosi valitsimet.

Kun tavoite on päinvastainen, pitää yksi kohde tunnelin ulkopuolella, lisää ohituspolitiikka, jolla on pienempi prioriteettinumero, jotta se voittaa automaattisesti asennetun merkinnän. Politiikka ilman mallia sallii selkokielisen tekstin, mikä tekee siitä tarkoituksellisen poikkeuksen muutoskirjausta varten eikä vianetsintäaskeleen.

Tarkista tässä järjestyksessä ja tiedä, miten peräännyt

Listaa politiikat jokaiselle aliverkolle molemmissa suunnissa, myös edelleenlähetyssuunta, jos isäntä reitittää. Laske erilliset reqidit ja vahvista yksi politiikkaa kohti sillä puolella, joka sitä odottaa. Vertaa asennettuja valitsimia neuvoteltuihin. Lue assosiaatiokohtaiset laskurit uudelleen avaimen uusimisen jälkeen, sillä tarkastamasi assosiaatio voi olla jo poissa. Tarkista reitit viimeiseksi, koska puuttuva reitti etäaliverkkoon tuottaa samankaltaisen yksisuuntaisen oireen puhtailla politiikkalaskureilla.

Ennen kuin muutat kumppania, tallenna molempien xfrm-komentojen nykyinen tuloste. Jos uusi asetus ei palauta paluusuuntaa, tuon tulosteen palauttaminen on nopeampi peruutus kuin tunnelin uudelleenrakentaminen muistista, ja se pitää vertailun rehellisenä.