strongSwan go AWS Site-to-Site: cén fáth nach roghnaíonn an Child SA aon rud

Deir stádas an chonsóil up, tuairiscíonn strongSwan comhghuíochán IKE bunaithe, agus ní thagann na paicéid fós. Is é an rud is cóir a chur i gcomparáid ansin ní an eochair réamhroinnte, ach an péire réimíreanna a gcreideann gach taobh atá á gcosaint ag an tollán. Téigh trí na seiceálacha thíos in ord, mar is iad an chéad dá cheann a shocraíonn an féidir leis an tollán do thrácht a iompar ar chor ar bith.

Aistrigh ainmneacha AWS go téarmaí strongSwan

Déanann AWS cur síos ar an nasc ó thaobh an chliaint: is leatsa seoladh geatóire an chliaint agus an CIDR áitiúil, agus baineann an CIDR cianda leis an VPC. Tugann strongSwan left agus right ar an dá cheann, le do réimír i leftsubnet agus réimír an VPC i rightsubnet. Má chuirtear péire amháin bunoscionn, cruthaítear tollán a idirbheartaíonn agus a roghnaíonn an trácht mícheart.

Íoslódáil an chumraíocht a ghineann AWS don nasc agus déan tagairt di don nasc áirithe sin, lena n-áirítear seoltaí agus réimíreanna an tolláin. Má fhágtar an dá réimse CIDR folamh agus iad á gcruthú, úsáideann an tseirbhís an réamhshocrú 0.0.0.0/0 ar gach taobh. Ansin ní thagann ródaí cumraithe le réimír chúng leis riamh, mar sin líon na réimsí nó leathnaigh an roghnóir d’aon ghnó.

Breathnaíonn éagothroime anseo mar mhainneachtain ródaithe agus ní hea.

Pionnáil an seoladh a fheiceann AWS i ndáiríre

Is féidir le ródaí taobh thiar de NAT IKE a fhoinsí ó chomhéadan nár fhoghlaim an taobh eile riamh faoi. Caithfidh seoladh an gheatóire a thaifeadtar in AWS a bheith mar an gceann a fheiceann AWS ar an sreang, agus caithfear an ródaí a phionnáil leis an seoladh áitiúil céanna seachas a réamhbhealach a leanúint.

conn %default
    local_addrs = 203.0.113.10

I strongSwan roghnaíonn local_addrs an seoladh foinse do IKE, agus scríobhann cumraíochtaí OpenSwan níos sine an smaoineamh céanna mar left. Cuir i dtreo an chomhéadain a bhfuil an seoladh poiblí uirthi é, ansin fíoraigh ar an bhfeiste NAT féin go sroicheann UDP 500 agus 4500 an t-óstach sin, mar scaoileann riail a d’fhan ó ródaí níos luaithe iad go ciúin. Teipeann ar phéire roghnóirí ceart leis an seoladh foinse mícheart fós, agus cuirfidh an logán an milleán ar an togra. Is é an chluain sin an fáth a bhfuil a sheiceáil féin tuillte ag an seoladh foinse.

Deimhnigh an riail seolta ar aghaidh seachas í a ghlacadh mar rud cinnte, mar is minic a fhanann riail a bhí ceart don ródaí roimhe seo.

Déileáil le céim 1 agus céim 2 ar leithligh

Nochtann AWS roghanna IKE agus ESP mar liostaí ar leithligh. Ní deir sraith IKE a nglacann an dá thaobh léi aon rud faoin togra ESP, mar tá an dá liosta neamhspleách. Léigh an dá cheann ón gcumraíocht ghinte agus cuir i gcomparáid iad ceann ar cheann.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Ní thaistealaíonn comhréir idir cur i bhfeidhm. Teastaíonn aistriú go foirm esp= agus ike= strongSwan ó phéire a oibríonn in OpenSwan, mar shampla phase2alg=aes_gcm le ike=aes256-sha1;modp1024, agus tá ainmneacha na n-algartam difriúil. Toisc go bhfíoraíonn GCM agus é ag criptiú, ní theastaíonn claochlú sláine ar leith uaidh, murab ionann agus sraith CBC péireáilte le SHA. Cruthaíonn líne chéim 2 a ghreamaítear ó dheamhan amháin go deamhan eile gan aistriú diúltú a léitear mar éagothroime roghnóirí.

Seiceáil an comhghuíochán linbh, ní táscaire an tolláin

Má luchtaítear an nasc ach nach dtagann aon chomhghuíochán linbh chun cinn, diúltaíodh don togra nó do na roghnóirí. Má thagann leanbh chun cinn agus má eisíonn a roghnóirí do réimíreanna, déantar paicéid a scagadh sula sroicheann siad an tollán. Ní chlúdaíonn táscaire an chonsóil ach an leibhéal IKE, mar sin ní féidir leis a rá cé acu den dá rud a tharla.

ipsec statusall

Aimsigh comhghuíochán slándála an linbh agus léigh na roghnóirí tráchta atá clóite ina aice, ansin cuir iad i gcomparáid leis na réimíreanna ón gcumraíocht ghinte.

Tástáil ó óstach laistigh den réimír áitiúil go hóstach laistigh de réimír an VPC, agus seiceáil an bealach fillte chomh maith le haon ghrúpa slándála nó ACL líonra ar thaobh AWS. Ní chosnaíonn roghnóirí cearta paicéad ó bheith scaoilte níos déanaí.

Nuair a theipeann fós tar éis do na roghnóirí teacht le chéile

Deimhnigh go bpointíonn an bealach ar an dá thaobh chuig an tollán, ansin deimhnigh nach bhfuil an fheiste NAT ag athscríobh tráchta ar bhealach nach bhfuil súil ag an bpolasaí leis. Meaitseálann tollán polasaíbhunaithe seoltaí paicéad, mar sin athraíonn aistriú a chuirtear i bhfeidhm tar éis cinneadh an pholasaí an toradh.

Logáil paicéad amháin isteach agus paicéad amháin amach ar gach taobh sula n-athraíonn tú togra eile.

Scríobh na roghnóirí, tograí chéim 1 agus chéim 2 agus an seoladh foinse sa ticéad. Míníonn na ceithre luach sin an chuid is mó de theipeanna site-to-site gan ghlaoch.