Wêrom in IPsec-feiligensbelied gjin rigel yn ’e rûtetabel is

Ping 10.20.0.5 troch de tunnel en der komt neat werom, wylst de rûtetabel folhâldt dat dat subnet berikber is. Rûtering en IPsec beantwurdzje ferskillende fragen, en mar ien fan beide giet oer berikberens. De foarút-sykjen kiest in paad, dan beslút de database fan it feiligensbelied oft dat paad beskerme, gewurde litten of wegere wurde moat. As de twa ferskille, stjert it pakket stil, dus lês se yn dy folchoarder.

Begjin by de sykjen, net by de tabel

Freegje de kernel wat er wier dwaan soe: ip route get 10.20.0.5 prints de keazen rûte, de útgeande ynterface en it boarneadres dat er brûke soe. In foarheaksel, in beliedsregel, in mark of in foarkarre boarne kinne dat antwurd feroarje, dêrom wint de libbene sykjen fan it lêzen fan ’e tabel mei it each.

Test in bestimming binnen it beskerme berik, net it gateway-adres. It berikken fan ’e gateway oan ’e oare kant bewiist allinnich dat der in rûte bestiet; it seit neat oer it subnet dat jo echt nedich hawwe. Befêstigje dan dat de ynterface dy’t de sykjen keas dejinge is dy’t jo ferwachtsje dat de tunnel brûkt.

Lês de selekteurs oan beide kanten

De beliedsdatabase hat syn eigen rigels, en elk neamt in rjochting, in boarne, in bestimming en in protokol, en seit dan wat der barre moat mei pakketten dy’t oerienkomme. Brûk ip xfrm policy om se op te listjen; de flaggen litte sjen oft de aksje beskermje, omsile of blokkearje is. In belied wêrfan de selekteurs breder of smeller binne as jo teststream sil der net mei oerienkomme, en it pakket giet ûnbeskerme fuort. Dat is de stoarning dy’t jo sykje, net in ûntbrekkende rûte.

Fergelykje de echte wearden: boarne, bestimming, protokol en poarten. As de sykjen ien adrespear oplost hat wylst de beliedsrigel in oar dekt, beskriuwe de twa bylden ferskillend ferkear. Rin beide opnij mei deselde tuple foardat jo in konklúzje lûke, oars bewurkje jo in belied dat nea yn it paad wie.

In beliedoerienkomst is gjin ynstallearre steat

In oerienkommend belied seit allinnich dat it pakket beskerme wurde moat; de kernel hat noch altyd in feiligensassosjaasje nedich om de beskerming te dwaan. List se op mei ip xfrm state, of mei swanctl --list-sas as strongSwan de ûnderhanneling docht, en lês de selekteurs en tellers op elke rigel.

As in belied oerienkomt en gjin assosjaasje deselde selekteurs dekt, wurdt it pakket weilitten yn stee fan yn platte tekst ferstjoerd. Dat is de weilieting om nei te sykjen as de tunnel oan is mar ien subnet mislearret. De tellers fertelle de rest: in assosjaasje dy’t nea groeit waard nea keazen, wylst ien dy’t groeit en dochs yn in weilieting einiget nei de fiere kant wiist. Selekteurs reparearje en kaaien fernije binne ferskillende reparaasjes, dus beslút hokker jo nedich hawwe foardat jo de konfiguraasje oanreitsje.

Wat in rûtebasearre tunnel noch altyd freget

In XFRM-ynterface lit de tunnel lykje op in apparaat dêr’t jo yn rûte kinne, wat echt nuttich is. It hellet it belied en de steat net wei dy’t beslute wat der bart as it pakket dêr oankomt. De rûte draacht in folgjende hop by en neat mear.

As it apparaat bestiet en de rûte deryn wiist wylst gjin assosjaasje mei de ynderlike selekteurs oerienkomt, wurdt it pakket fuortgoaid, en gjin inkelde hoemannichte rûtebewurking produsearret kaaien of selekteurs. Kontrolearje de ynterface mei deselde boarne en bestimming dy’t jo rûte hawwe, en fergelykje dat dan mei de steatlist.

Bepaal it eigendom foardat jo wat bewurkje

In host-fjoerwâl foeget in tredde beslút ta dat net ien fan ’e beide databases ken. In korrekte rûte plus in oerienkommend belied plus in ynstallearre assosjaasje kinne dochs einigje yn in fuortgoaid pakket, en de applikaasje meldt allinnich de tiidferrin. Befêstigje dat de fjoerwâl it beskerme ferkear tastean foardat jo IPsec de skuld jouwe. It opnimmen op it tunnelapparaat en op ’e fysike ynterface lit sjen oan hokker kant fan ’e fersifering it pakket ferdwûn is.

It eigendom fan ’e konfiguraasje beslút oft jo reparaasje in herstart oerlibbet. Ien komponint kin steat ynstallearje wylst in oar rûtes beheart, en in hânbewurking fan it twadde wurdt oerskreaun de folgjende kear as de tunnel omheech komt. Feroarje de eigendomskonfiguraasje en lês dan beide bylden opnij; RFC 4301 hâldt de twa databases skieden as jo de splitsing oan immen oars útlege moatte.