IPsec mei meardere subnetten ferliest weromferkear? Tel de reqids

Ferkear ferlit it iene plak en komt nea werom, beide gateways melde in ôfrûne ûnderhanneling, en de iennige oanwizing is in stapel útgeande pakketten sûnder antwurden. Op in Linux-einpunt is de gewoane oarsaak net de fersiferingssterkte, de MTU of in routingtabel. It is de korrelichheid fan 'e beliedsitems en it nûmer dat elk belied oan in feiligensassosjaasje keppelt. De proseduere hjirûnder lêst dy beide databanken foardat eat oars oanrekke wurdt.

Splits it symptoom foardat jo eat feroarje

In ienrjochtingsflater by in ôfrûne IKE-ûnderhanneling beheint it probleem ta it gegevenspaad. Of it útgeande belied paste en it antwurd waard fuortgoaid, of it antwurd kaam nea oan om't de oare kant neat hie om it troch te stjoeren. Fanút in applikaasje sjogge beide itselde út, en de xfrm-databanken ûnderskiede se.

Begjin net mei de MTU. In ferkearde MTU jout stûkjen en fragmintaasjesymptomen, gjin skjinne rjochtingssplitsing mei stigende útgeande tellers.

Lês de beliedsdatabank en de state-databank

Fersifering op Linux wurdt troch beliedsitems besletten, dus in passend belied, net in route, bringt in pakket yn 'e tunnel. Fier ip xfrm policy út om de selektors, rjochting, prioriteit en sjabloan fan elk item te sjen, en ip xfrm state om de opboude assosjaasjes mei har reqids te sjen. It belied en de assosjaasje wurde troch dy reqid ferbûn.

Sjoch nei alle trije rjochtingen. Utgeand en ynkommend dekke ferkear fan en nei dizze host; de foarút-rjochting is fan belang as de host foar oaren routearret. In ûntbrekkend of ôfwikend item yn ien rjochting ferklearret in ienrjochtingsresultaat sûnder hokker kryptografyske flater dan ek.

De klassike asymmetry: ien reqid foar meardere subnetten

In faak foarkommende flater komt fan in peer dy't belied foar alle ûnderhannele subnetten ûnder ien reqid ynstallearret, wat bart mei racoon's generate_policy require. It ferkear giet dan oer de assosjaasje dy't it lêst oanmakke is, wylst de oare kant per subnet in aparte assosjaasje hâldt. Antwurden komme oan op in assosjaasje wêrfan de reqid it belied net oanwiist dat se akseptearje moatte, en de kearn smyt se nei ûntsifering fuort.

De oplossing is in konfiguraasjeferoaring, gjin firewallregel: generate_policy unique; jout elk belied syn eigen reqid, sadat de assosjaasjes per belied fan 'e peer passende partners hawwe. Pas it ta, ûnderhannelje op 'e nij, en tel de ferskillende reqids foar de subnetten dy't jo ferwachtsje foardat jo súkses ferklearje.

Diele twa subnetten noch altyd in reqid wylst de oare kant twa ferwachtet, dan hawwe jo de asymmetry fûn. Skriuw de keppeling op, want dy is it bewiis dat de folgjende feroaring it oplost of behâlden hat.

Selektors komme út 'e ûnderhanneling, net út jo konfiguraasje

De beskerme berikken binne wat beide kanten ôfsprutsen hawwe, net wat ien fan beide frege hat. In klant dy't in hostpear tsjin in breed ekstern berik oanbiedt, krijt de ferlytse ferzje fan 'e gateway, en de klant kin dy net ferbrede. Lês de ynstallearre selektors ynstee fan dy yn jo lokale bestân.

As it doel it tsjinoerstellende is, ien bestimming bûten de tunnel hâlde, foegje dan in bypass-belied ta mei in leger prioriteitsnûmer sadat it fan it automatysk ynstallearre item wint. In belied sûnder sjabloan lit iepen tekst ta, wat it in bewuste útsûndering foar in wizigingsregistraasje makket ynstee fan in debuggingstap.

Kontrolearje yn dizze folchoarder, en wyt hoe't jo weromdraaie

List de beliedsitems foar elk subnet yn beide rjochtingen op, ek foarút as de host routearret. Tel de ferskillende reqids en befêstigje ien per belied oan 'e kant dy't dat ferwachtet. Fergelykje ynstallearre selektors mei de ûnderhannele. Lês de tellers per assosjaasje op 'e nij nei in rekey, want de assosjaasje dy't jo besjoen hawwe kin al fuort wêze. Kontrolearje routes as lêste, want in ûntbrekkende route nei it eksterne subnet jout in ferlykber ienrjochtingsymptoom mei skjinne beliedstellers.

Bewarje foardat jo de peer feroarje de hjoeddeiske útfier fan beide xfrm-opdrachten. As de nije ynstelling de weromrjochting net werombringt, is dy útfier weromsette in fluggere rollback as de tunnel út it ûnthâld op 'e nij opbouwe, en it hâldt de fergeliking earlik.