In IKEv2-klient berikke op syn tawiisde firtuele IP

In poarte moat in ferbining starte nei in laptop dy’t fia IKEv2 mei him ferbûn is, mei it tawiisde firtuele adres fan dy klient. De tunnel is oan, de klient berikt alles efter de poarte, en de tsjinoerstelde rjochting mislearret noch altyd. Dy asymmetry is normaal: it ûnderhannele belied beskriuwt hokker adressen prate meie, net hokker kant begjinne mei. Trije dingen moatte op ien line komme foardat in fersyk dat de poarte begjint, wurket.

De tunnel makket it boarne-adres net goed

In CHILD SA beslacht in pear ferkearsselektors, ien per kant, en lit ferkear yn beide rjochtingen fan dat pear ta. It seit neat oer hokker peer de IKE-útwikseling earst iepene hat. In poarte dy’t earst foar de tunnel lei te harkjen, kin noch altyd it earste tapassingspakket stjoere, mits de keazen boarne en bestimming binnen de ynstalleare selektors falle. As it fersyk fan it ferkearde ynterface ôf giet, is it gewoan net geskikt foar de tunnel.

Rûteleasje nei de klient is nedich en net genôch. It belied moat de boarne talitte dy’t jo eins brûkt hawwe.

Lês it ynstalleare belied, net it konfiguraasjebestân

Begjin by de aktive assosjaasje en syn selektors, want dynamyske tawizing feroaret wat yn de kearn ynstalleare is.

ipsec statusall
ip xfrm policy

De statusútfier neamt de ferbining, it tawiisde firtuele adres en de selektors dy’t op dit stuit foar dy peer jilde. De beliedsútfier lit deselde selektors as kearnsteat sjen, en dat is wat pakketkar echt rieplachtet. Fergelykje de selektor oan de poartekant mei de boarne dy’t jo tapassing brûke sil, want in mismatch ferklearret it mislearjen daliks. Lês it hjoeddeistige adres fan de klient yn stee fan ien út in eardere sesje, want in opnij tawiisde VIP makket it âlde belied ûnjildich.

De klient moat harkje wêr’t it pakket oankomt

Sels in perfekt belied berikt in sletten poarte as de tsjinst allinnich oan loopback bûn is. De harker moat op it tawiisde adres wêze of op in pleatslik wyldkaartadres.

ss -ltnp 'sport = :9090'
iptables -S INPUT

De socketlist lit sjen oft de poarte oan it firtuele adres bûn is, en de fjoerwâlregels litte sjen oft nije ferbiningen fan de beskerme boarne akseptearre wurde. In regel skreaun foar fêstige ferbiningen lit in ferbining dy’t de poarte begjint net ta. Hâld de eigen autentikaasje fan de tsjinst, want troch de tunnel oankomme fêstiget allinnich út hokker netwurk it pakket kaam. In klient efter syn eigen NAT hat noch gjin ynkommende poartoerstjoering nedich, want dizze fersiken reizgje binnen de besteande tunnel.

Test de nije rjochting op himsels

In wurkjend fersyk fan klient nei tsjinner beoefenet dit paad nea. Meitsje it fersyk fan de poarte en observearje beide einen.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

De rûtesykjefunksje antwurdet hokker boarne en ynterface de poarte brûke soe, en dat is de wearde dy’t it belied talitte moat. De opname soe sjen moatte litte dat it fersyk binnen ESP fuortgiet en net as gewoane TCP op it iepenbiere ynterface. Op de klient, meitsje in opname fan it ûntsifere ferkear om de oankomst te befêstigjen en oft de tsjinst antwurde. As it fersyk ferdwynt sûnder ESP op ’e tried, fertocht dan it boarne-adres earder as de fjoerwâl fan de klient.

Werhelje de test nei in kaaifernijing of in werferbining, want de VIP kin feroarje. In paad dat allinnich oant de folgjende sesje wurket, is gjin wurkjend paad.