IPsec-ferkearsselekteurs: wat se dekke en wat net

Ferkeraslekteurs neame it ynterne ferkear dat in IPsec-oerienkomst beskermet, en it pear wurdt ûnderhannele ynstee fan oannommen. Twa einpunten kinne inoar perfekt autentisearje en dochs ferskille oer hokker pakketten binnen de tunnel hearre. Dat ferskil is ûnsichtber yn ’e ferbiningsstatus, dy’t meastentiids in sûne tunnel rapportearret. It lêzen fan de selekteurs fan beide kanten en dan ien bestimming folgje fynt it flugger as hokker hoemannichte beliedsbewurking dan ek.

Lês se fan beide kanten

Elk einpunt beskriuwt syn eigen kant as lokaal en de oare kant as ôfstân. Itselde pear foarheakseis ferskynt dêrom omwiksele yn ’e twa konfiguraasjes, en dat is korrekt en net tsjinstridich. It perspektyf omdraaie is it earste dat moat as in wurkjende oerienkomst op papier ferkeard liket. Twa bestannen njonken inoar fergelykje sûnder se om te wikseljen smyt in misoerienkomst op dy’t net bestiet.

De wearden binne net altyd inkelde subnetten. IKEv2-selekteurs kinne adresberikken, protokolnûmers en poartberikken drage, en sa beskermet in belied ien tsjinst ynstee fan in hiel netwurk. In selekteur dy’t smeller is as it bedoelde ferkear smyt in tunnel op dy’t guon bestimmingen draacht en oaren stil útslút.

Skriuw beide kanten yn ien tabel foardat jo wat feroarje. De oefening besljochtet meastentiids de fraach sûnder in konfiguraasjebestân oan te reitsjen.

Fernauwjen is de beslissing fan ’e responder

In inisiator stelt foar, en de responder mei mar in dielferzamming akseptearje. IKEv2 lit de responder de oanbeane ferkearsselekteurs fernauwe, en it fernauwe resultaat is wat eins ynstallearre wurdt. It lêzen fan de konfiguraasje fan de inisiator beskriuwt dêrom in oanbod, net de oerienkomst.

Dêrom kin in subnet dat by de klant tafoege wurdt in wurkjende tunnel opleverje dy’t de nije bestimming dochs wegeret. De tsjinner fernauwe it oanbod werom nei wat syn belied tastiet, wylst it bestân fan ’e klant noch it bredere berik listet. Allinnich de ûnderhannele tastân lit de wierheid sjen: op Linux rapportearje ip xfrm policy en de child SA-list yn de IKEv2-dokumintaasje fan strongSwan wat ynstallearre is ynstee fan wat frege is. As de beide ferskille, is it belied fan ’e responder dat feroare wurde moat.

In ôfwiisd oanbod is in oar symptoom as in fernauwe. Ofwizing ferskynt yn it ûnderhannelingslog en lit hielendal gjin child-assosjaasje efter.

Folgje ien bestimming fan begjin oant ein

Kies in echte bestimming plus it boarne-adres dat de klant dêrfoar brûke soe, en folgje dan dat pear troch trije ûnôfhinklike beslissings. De rûte kiest in paad, de selekteur beslist oft dat paad beskerme is, en de firewall beslist oft it pakket tastien is. Elk kin op himsels mislearje, en in breed selekteur reparearret gjin ien fan ’e oaren.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

De rûtefraach neamt de ynterface en it boarne-adres dat it pakket drage soe. De beliedslist lit sjen oft der in byhearrende tunnelbelied foar dat pear bestiet, ynklusyf syn rjochting en nivo. De SA-list lit de ûnderhannele child-selekteurs sjen tegearre mei tellers, dus in child-assosjaasje mei nul pakketten nei’t ferkear besocht is, is de hantekening fan selekteurs dy’t útslute wat ferstjoerd wurdt. Trije opdrachten, trije ferskillende antwarten, en mar ien fan har ferklearret in stil falle.

As de child-tellers bewege wylst de applikaasje noch mislearret, sit it probleem efter de tunnel. Dat ferpleatst it ûndersyk nei de listener of firewall fan ’e fiere host, net nei de selekteurs.

Hâld de twa doelen skieden

It beskermjen fan in kantoarsubnet en it stjoeren fan al it browsen troch in fiere útwei binne ferskillende easken mei ferskillende selekteurs. In profyl boud foar ien past selden by de oare, en se trochinoar minge jout of in lek of in brutsen splitsing. It ferbreedzjen fan it beskerme berik betsjut beide einpunten en har trochstjoerbelied feroarje, want in iensidige feroaring wurdt in ôfwiisd oanbod. Dat is de meast foarkommende manier wêrop in wurkjende tunnel nei in lytse bewurking ophâldt te wurkjen.

Selekteurs beskriuwe kryptografyske dekking, rûtes kieze paden, en applikaasjes twinge har eigen tastimmings ôf. In tunnel dy’t alles dekt kin dochs gjin tsjinst berikke dy’t oan loopback bûn is, en in rûte de tunnel yn hat dochs in selekteur nedich dy’t de bestimming omfettet. Kontrolearje alle trije tsjin itselde testfersyk, en de misoerienkomst neamt himsels.