XFRM-oletusreitti nielaisi IKE:n ja ESP:n: säilytä ulompi polku

Liikenne on suojattu, tunneli on pystyssä, ja sitten se kuolee seuraavassa avainten uusinnassa. XFRM-rajapinnan kautta kulkeva oletusreitti kuvasi liikennettä, jonka halusit suojata. Se nielaisi myös paketit, joita tarvitaan suojauksen jatkamiseen.

Kaksi mukana olevaa kohdetta eivät ole vaihdettavissa. Reitityksen on sanottava se selvästi.

Minne vertaisen haku todella menee

Kirjaa aktiiviset säännöt, XFRM-reitin sisältävä taulukko ja vertaisen julkinen osoite. Katso sitten polkua, jonka ulompi yhteys ottaisi todellisella lähteellään ja merkillään. Yleinen kohde ei kerro siitä ohjauspolusta mitään. Vain todellinen lähde ja merkki antavat hyödyllisen vastauksen.

Onnistunut aloitusyhteys todistaa myös vähän. Virhe ilmenee usein vasta, kun reitin asennus muuttaa vastausta. Käynnistys onnistuu, sitten ensimmäinen uusinta ei.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Jos vertaisen haku päätyy XFRM-rajapintaan, ulommat paketit reititetään tunneliin, jonka ne itse rakentavat. Se on silmukka, nähtävissä yhdellä komennolla.

Poissulkemisvaihtoehdot nykyaikaisella yhdyskäytävällä

strongSwanin reitityspohjaista VPN:ää koskeva dokumentaatio esittää kaksi käytännöllistä vastausta. Toinen merkitsee IKE:n ja ESP:n, jotta XFRM-taulukkoon osoittava sääntö ei osu niihin. Toinen jättää vertaisreitin tai poissulkemisen, johon haku vielä yltää.

Valitse se, jonka sääntökokonaisuutesi pystyy ilmaisemaan ilman sivuvaikutuksia. Merkki on puhdas, kun muu pino käyttää jo merkkejä. Se on vaarallinen, kun sama maski tarkoittaa toisessa säännössä jotain muuta. Molemmat pakettityypit tarvitsevat käsittelyn joka tapauksessa.

Vain IKE:n merkitseminen jättää datapaketit napattuun polkuun. Se tuottaa tunnelin, joka tekee kättelyn ja ei sen jälkeen kanna mitään.

Merkki on yksi bitti paketin fwmarkissa, jota mikään muu yhdyskäytävällä ei vaadi: 0x1 maskilla 0x1 on tavallinen valinta, ja se on asetettava kahteen paikkaan, jotta poissulkeminen toimii. Charon tarvitsee sen IKE-pistokkeessa, ja lapsiyhteyden saapuvan ja lähtevän merkin asetukset tarvitsevat saman arvon, jotta myös kapseloidut paketit lähtevät merkittyinä. Maski 0x1 eikä 0xffffffff jättää loput bitit vapaiksi, millä on merkitystä, kun toinen alijärjestelmä merkitsee jo paketteja samalla isännällä. Kun molemmat on asetettu, sääntö kirjoitetaan poissulkemisena, joten merkityt paketit ohittavat XFRM-reitin sisältävän taulukon ja putoavat päätaulukkoon:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Lue sitten vastaus merkin kanssa. Ilman sitä tutkit polkua, jonka suojattu liikenne ottaa, eli tämän osan kysymyksen vastakohtaa.

Mitä automaattinen asennus olettaa koontiversiosta

Automaattinen reittiasennus XFRM-rajapinnalle riippuu strongSwan-versiosta ja sen kokoonpanosta. Rajapinnan tunnus, asennettu käytäntö ja liitos täytyy kaikkien viitata aiottuihin objekteihin. Epäjohdonmukaisuus näkyy reittinä, joka osoittaa hiljaa jonnekin todelliseen.

Taulukkonumeron tai merkkimaskin kopioiminen toiselta yhdyskäytävältä on tapa, jolla törmäykset alkavat. Tarkista ensin, mikä sitä jo käyttää. Törmäys vaikuttaa liikenteeseen paljon muuallekin kuin muutettavaksi aikomaasi tunneliin, ja oire harvoin osoittaa kopioon.

Vertaisen osoitteen muutokset kuuluvat suunnitteluun. Eilisen osoitteen isäntäreitti ei ole päätepisteen palautussuunnitelma, kun taas merkki kestää sen muutoksen.

Seuraa ensimmäistä uusintaa

Tarkista ulompi polku sen jälkeen, kun suojatut reitit on asennettu, ei ennen. Seuraa sitten seuraavaa uusintaa ja yhtä sovellusvaihtoa. Virhe ilmenee yleensä siirtymässä eikä käynnistyksessä.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Suojatun oletusreitin poistaminen väliaikaisesti palauttaa yleensä yhteyden. Tulos on diagnoosi, ei lopullinen.

Tavoitteena on vakaa jako sisäisen liikenteen ja sitä kuljettavien ulompien pakettien välillä. Kirjoita valittu mekanismi ja sen taulukko tai merkki yhdyskäytävän muistiinpanoihin. Muuten seuraava sääntöihin koskeva henkilö tuo silmukan takaisin.