IPsec-belied slokt jo lokale ferkear op: hoe’t jo it werkenne

De printer op ’e buro hâldt op mei antwurdzjen op it stuit dat de tunnel omheech komt, en neat yn ’e tunnelkonfiguraasje neamt de printer. Wat meastentiids bard is, is dat in beskerme berik sa breed skreaun is dat it him omfettet, sadat de masine no ferkear besiket te fersiferjen dat op it lokale segmint bliuwe moatten hie. It lêzen fan it ynstallearre belied ferklearret it ôffangen; it ferlingjen op it juste plak hâldt it fiere ferkear beskerme. De reis fan mislearre oanfraach nei passend belied duorret in pear minuten.

Folgje de stream foardat jo in selektor feroarje

Begjin by de mislearre oanfraach en skriuw fjouwer wearden op: it boarneadres dat de masine brûkt, it krekte bestimming, de rûte dy’t de kearn kiest en it belied dat by dat pear past.

Dy fjouwer feiten beslisse oft it ôffangen bewust of tafallich is. In bestimming dy’t binnen de fiere selektor falt, wurdt neffens ûntwerp beskerme, sels as it ûntwerp ferkeard wie. In bestimming bûten dy selektor dy’t dochs ôffongen wurdt, betsjut dat eat oars oerienkomt, en it feroarjen fan ’e selektor sil net helpe. Beide gefallen komme faak foar, en ien kommando ûnderskiedt se.

Doch dit foardat jo eat bewurkje, want it nijsgjirrige gefal is it lokale subnet dat oerlaapet mei in privee berik dat de ferbining beskermet. Bekende foarheaksels lykas 192.168.0.0/16 komme yn in protte netwurken foar, en in selektor skreaun foar ien dêrfan kin jo eigen stil beslaan.

Trije soarten lokaal dy’t har oars hâlde

In bestimming tawiisd oan dizze host, in bestimming op deselde link en in bestimming efter in oare interface binne trije ferskillende gefallen. De kearn behannelet elk oars as er beslút oft it ferkear beskerming nedich hat.

Ferkear dat de gateway sels generearret is ek net itselde as ferkear dat fan in klant trochstjoerd is. In belied dat der foar trochstjoerd ferkear korrekt útsjocht, kin de eigen beheersesje fan ’e gateway ôffange, en sa ferliest in behearder de tagong wylst er de tunnel reparearret.

De nuttige gewoante is it gefal hurdop te neamen: komt dit pakket fan my, giet it nei myn link of giet it troch my? Elk antwurd wiist nei in oar plak om te ferlingjen. It gefal opskriuwen foarkomt ek dat de folgjende persoan itselde wurk opnij docht.

As it beskerme berik in hiele privee romte is, kinne alle trije gefallen der tagelyk yn falle, en it symptoom wurdt in masine dy’t neat berikt behalve it tunnel-einpunt.

Lês it ynstallearre belied, net it bestân

Konfiguraasjebestannen beskriuwe de bedoeling; de kearn hâldt de beliedsregels dy’t echt oerienkomme. Toan beide en behannelje in ferskil as de earste befinning.

Dizze kommando’s toane de keazen rûte nei de bestimming en it ynstallearre belied yn elke rjochting:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

De rûte fertelt jo hokker interface it pakket brûke soe. De beliedslist fertelt jo oft der dan in sjabloan op dat pakket tapast wurdt, en de ferbiningslist toant hokker selektors de daemon tinkt ynstallearre te hawwen. As de bestimming yn in fiere selektor ferskynt, hawwe jo it ôffangen fûn sûnder te rieden.

Ferlingje de selektor of mije de bestimming

Der binne twa stipe reparaasjes en se beantwurdzje ferskillende fragen. It ferlingjen fan ’e selektor seit dat dizze ferbining allinnich in lytser berik beskermet, wat korrekt is as it bredere berik in flater wie. In mijing tafoegje seit dat dizze spesifike bestimming nea beskerme wurde mei, wat korrekt is as it beskerme berik wirklik breed is en ien bestimming de útsûndering is.

Kies de earste as jo kinne, want in lytsere selektor is makliker te beredenearen en is te sjen yn ’e definysje fan ’e ferbining. Kies de twadde as it brede berik bewust is en de útsûndering in inkelde host of subnet is dat jo neame kinne.

Beide hearre by de konfiguraasje dy’t de ferbining besit. In runtime-regel tafoege mei de hân ferdwynt by de folgjende werferbining, en de flater komt werom op in momint dat nimmen de workaround mear betinkt.

Utûnderingen dy’t in weromsette oerlibje

Werhelje nei de wiziging deselde ûnskuldige oanfraach en sjoch nei deselde tellers. De lokale bestimming heart te antwurdzjen, en de bedoelde fiere bestimming heart noch altyd fersifere ferkear te toanen.

Dizze twa kontrôles befêstigje dat de útsûndering oerlibbe en de beskerming net:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Ferbrutel dan de tunnel mei opsetsin en ferbinje opnij, en werhelje beide. In útsûndering dy’t foar de werferbining wurket en dêrnei mislearret, is op ’e ferkearde laach tapast, en dat is de meast foarkommende manier wêrop dit probleem weromkomt.