XFRM-standertrûte slokte IKE en ESP troch: hâld it bûtenste paad

In belied dat alles beskermet, kin ek de pakketten fange dy't de tunnel oanhâlde. Markearje IKE en ESP, of hâld in peer-rûte.

It ferkear is beskerme, de tunnel stiet, en dan stjert er by de folgjende kaai-ferfanging. In standertrûte troch de XFRM-interface beskreau it ferkear dat jo beskermje woenen. Hy slokte ek de pakketten troch dy't nedich binne om it te bliuwen beskermjen.

De beide belutsen bestimmingen binne net útwikselber. De rûtebepaling moat dat eksplisyt sizze.

Wêr't it sykjen nei de peer eins telâne komt

Skriuw de aktive regels op, de tabel dy't de XFRM-rûte hâldt en it iepenbiere adres fan de peer. Sjoch dan nei it paad dat de bûtenste ferbining nimme soe mei syn echte boarne en mark. In algemiene bestimming fertelt jo neat oer dat kontrôlepaad. Allinnich de echte boarne en mark jouwe in nuttich antwurd.

In slagge earste ferbining bewiist ek mar in bytsje. De flater komt faak nei't in rûte-ynstallaasje it antwurd feroare hat. De start slagget, dan slagget de earste fernijing net.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

As it sykjen foar de peer yn de XFRM-interface telâne komt, wurde de bûtenste pakketten nei de tunnel rûte dy't se sels bouwe. Dat is de lus, sichtber yn ien opdracht.

Utslutingsopsjes op in moderne gateway

De dokumintaasje fan strongSwan oer rûtebasearre VPN jout twa praktyske antwurden. Ien markearret IKE en ESP sadat de regel nei de XFRM-tabel net op har past. De oare lit in peer-rûte of útsluting stean dy't it sykjen noch berikke kin.

Nim dy't jo regelset sûnder byeffekten útdrukke kin. In mark is skjin as de rest fan de stack al merken brûkt. It is in gefaar as deselde masker yn in oare regel eat oars betsjut. Beide pakkettypen hawwe de behanneling dochs nedich.

Allinnich IKE markearje lit de datapakketten op it fongen paad. Dat smyt in tunnel op dy't in hânskommerskip docht en dan neat draacht.

De mark is ien bit yn de fwmark fan it pakket dat neat oars op de gateway opeasket: 0x1 mei masker 0x1 is de gewoane kar, en hy moat op twa plakken set wurde om de útsluting wurkje te litten. Charon hat him nedich op de IKE-socket, en de ynkommende en útgeande markynstellingen fan de bernferbining hawwe deselde wearde nedich sadat ynkapsulearre pakketten ek markearre fuortgeane. In masker fan 0x1 ynstee fan 0xffffffff lit de oerbliuwende bits frij, wat fan belang is as in oar subsystem al pakketten op deselde host markearret. Mei beide set wurdt de regel as útsluting skreaun, sadat markearre pakketten de tabel mei de XFRM-rûte oerslaan en yn de haadtabel falle:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Lês dan it antwurd mei de mark tapast. Sûnder dy ûndersykje jo it paad dat beskerme ferkear nimt, dat is it tsjinstelde fan de fraach fan dizze seksje.

Wat automatyske ynstallaasje oer de bou oannimt

Automatyske rûte-ynstallaasje foar in XFRM-interface hinget ôf fan de strongSwan-ferzje en syn konfiguraasje. De interface-ID, it ynstallearre belied en de assosjaasje moatte allegear nei de bedoelde objekten ferwize. In mismatching docht him foar as in rûte dy't stil nei earne echt wiist.

In tabelnûmer of in markmasker fan in oare gateway kopiearje is hoe't botsingen begjinne. Kontrolearje earst wat it al brûkt. In botsing beynfloedet ferkear folle fierder as de tunnel dy't jo feroarje woenen, en it symptoom wiist selden nei de kopy.

Feroarings fan it peer-adres hearre by it ûntwerp. In hostrûte foar it adres fan juster is gjin herstelplan foar it einpunt, wylst in mark dy feroaring oerlibbet.

Hâld de earste fernijing yn 'e gaten

Kontrolearje it bûtenste paad neidat de beskerme rûtes ynstallearre binne, net earder. Hâld dan de folgjende fernijing en ien applikaasje-útwikseling yn 'e gaten. De flater komt meast by dy oergong en net by de start.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

It beskerme standertpaad tydlik fuorthelje bringt de ferbining meast werom. Dat resultaat is diagnostysk, net definityf.

It doel is in stabile splitsing tusken binnenferkear en de bûtenste pakketten dy't it drage. Skriuw it keazen meganisme en syn tabel of mark yn 'e notysjes fan de gateway. Oars sil de folgjende persoan dy't de regels oanrekket de lus wer ynfiere.

Relatearre artikelen