Teastaíonn 0.0.0.0/0 ar an dá thaobh ó thollán iomlán i strongSwan

Ní iompraíonn ceangal strongSwan a oibríonn do fho-líonra príobháideach amháin trácht idirlín díreach mar gheall gur chuir duine eagar ar líne amháin. Comhaontú idir dhá thaobh is ea tollán iomlán faoi na seoltaí a chosnaíonn an child SA, agus ainmníonn gach taobh an taobh eile i ndáil leis féin. Cuir taobh amháin i gceart agus an taobh eile mícheart, agus ní éireoidh an child SA nó éireoidh sé níos cúinge ná mar a bhí beartaithe. Leanann na cúig sheiceáil thíos an comhaontú sin ón cliant, tríd an ngeata, agus amach chuig an idirlíon.

Seiceáil roghnóir an chliaint ar dtús

Déanann an cliant cur síos ar an méid a theastaíonn uaidh a chosaint ar an taobh cianda mar remote_ts, agus tagann gach rud a sheolann sé óna sheoladh féin a shanntar dó. I gcás tráchta idirlín caithfidh an luach sin na cinn scríbe a shroicheann an t-úsáideoir i ndáiríre a chlúdach, rud a chiallaíonn an spás IPv4 ar fad go praiticiúil. Iarrann cliant a liostaíonn fo-líonra amháin fós tollán scoilte, cibé ainm a thugtar ar an bpróifíl sa chomhéadan. Is é dynamic an taobh foinse de ghnáth toisc go sanntar an seoladh ag am naisc. Briseann foinse sheasta a scríobhtar ann chomh luath agus a athraíonn an linn seoltaí.

children {
    net {
        local_ts  = dynamic
        remote_ts = 0.0.0.0/0
    }
}

Ní comhad naisc iomlán é an chuid seo, agus glacann an ceann seo leis go bhfuil fíordheimhniú, féiniúlachtaí agus an linn seoltaí fíorúla cumraithe cheana féin. Caithfidh roghnóir foinse an chliaint agus an seoladh a shannann an freastalaí teacht le chéile fós, nó éireoidh an child SA le raon nach raibh súil ag ceachtar taobh leis. Luchtaigh é le swanctl --load-all agus léigh an t-aschur sula nglacann tú le rath. Is féidir comhad a pharsáiltear fós a dhiúltú mar gheall ar roghnóir nach bhforluíonn le togra an taobh eile.

Seiceáil roghnóir an gheata ar a thaobh féin

Léann an geata an coincheap céanna ón treo eile. Tá cinn scríbe idirlín logánta don gheata, mar sin is é a local_ts an ceann leathan agus cuireann remote_ts síos ar linn na gcliant. Is é an t-inbheartú sin an botún is coitianta i gcumraíocht tolláin iomláin, agus maireann sé an t-athbhreithniú toisc go bhféachann an dá líne inchreidte ina n-aonar.

children {
    rw {
        local_ts  = 0.0.0.0/0
        remote_ts = 10.77.0.0/24
    }
}

Cruthaíonn cóipeáil na coda cliaint isteach i gcomhad an gheata péire roghnóirí nach gcuireann síos ar aon rud úsáideach, mar go n-éileodh an dá thaobh an ról céanna. Déanann treoir seolta strongSwan doiciméadú soiléir ar phéireáil an chliaint agus an gheata, agus is fiú é a léamh taobh le comhad na naisc seachas tar éis na teipe. Teastaíonn sainmhíniú na linne a dtagraíonn remote_ts di ó chomhad an gheata freisin. Luchtaítear roghnóir a ainmníonn linn nach bhfuil ann gan gearán agus teipeann sé ag am naisc.

Úsáideann an ipsec.conf seanrólta róil chlé agus dheis le heochracha éagsúla, agus ní hionann líne rightsubnet agus athsholáthar díreach ar luach swanctl. Coinnigh an dá chomhréir i gcomhaid ar leith seachas ceann a ghreamú isteach sa cheann eile. Is é meascadh iad in aon eolaire an bealach a bhfilleann ceangal oibre go ciúin tar éis atosaigh.

Seiceáil an child SA idirbheartaithe, ní an comhad

Ní chruthaíonn cumraíocht shábháilte ach cruthúnas ar rún agus rud ar bith eile. Is féidir leis an taobh eile an méid a iarradh a chúngú, agus ní athsholáthraítear child SA atá ann cheana féin díreach mar gheall gur athraigh an comhad faoi. Deimhnigh a bhfuil suiteáilte i ndáiríre sula n-athraíonn tú aon rud eile.

swanctl --list-conns
swanctl --list-sas
ip xfrm policy list

Taispeánann an chéad ordú an méid a lódáil an daemon, taispeánann an dara ceann na child SA atá seanbhunaithe, agus taispeánann an tríú ceann na beartais a chuirfidh an t-eithne i bhfeidhm. Má deir an comhad 0.0.0.0/0 agus má thaispeánann an liosta fo-líonra amháin, chúngaigh an chaibidlíocht an raon agus ní mhíneoidh athléamh an chomhaid é sin. Cuir deireadh leis an child, atosaigh é, agus cuir an trí aschur i gcomparáid arís. Cúngaítear child a fhilleann leis an raon cúng céanna ag an taobh cianda seachas ag an gcomhad logánta, agus is comhrá leis an riarthóir eile é sin seachas eagarthóireacht logánta.

Léigh an dá threo sa liosta beartas, mar is fadhb ródaithe in éide cumraíochta é tollán a shuiteálann treo amháin agus nach suiteálann an treo eile. Ba cheart do na beartais chun tosaigh agus ar gcúl an péire roghnóirí céanna a ainmniú i scáthán, agus is locht sa daemon nó sa togra é scáthán atá ar iarraidh seachas i dtéacs an roghnóra.

Seiceáil an seoladh agus an bealach fillte

Ligeann roghnóir trácht isteach chuig an ngeata; ní chuireann sé ar an ngeata an trácht sin a ródú ar aghaidh. Caithfear seoladh a chumasú, caithfidh an balla dóiteáin an sreabhadh a cheadú, agus caithfidh an freagra a bhealach ar ais chuig linn na gcliant a aimsiú. Trí riachtanas ar leith is ea iad sin, agus teipeann ar gach ceann le siomptóm difriúil. Iompraíonn riail seolta atá ar iarraidh mar pholl dubh, agus iompraíonn bealach fillte atá ar iarraidh mar thollán aonbhealaigh.

sysctl net.ipv4.ip_forward
iptables -t nat -S | grep -i masq
ip route get 1.1.1.1

Teastaíonn aistriú foinse d'aon ghnó ó sheoltaí príobháideacha cliant de ghnáth sula féidir leo comhéadan poiblí a fhágáil, agus teastaíonn cóireáil dhifriúil ó leithdháileadh atá ródaithe go sainráite. Má tá NAT i gceist, coinnigh na heisceachtaí a thacaíonn an cur i bhfeidhm leo ionas nach n-aistreofar trácht ar cheart do bheartas slándála é a iniúchadh thar an mbeartas. Athraíonn riail masquerade leathan a chóipeáiltear ó gheata eile i bhfad níos mó sreabhadh ná mar a bhí ar intinn ag a húdar. Scríobh an riail do linn na gcliant amháin, agus fág nóta ag míniú cén fáth a bhfuil sí ann.

Ar an gcliant, deimhnigh na bealaí a shuiteáil an backend seachas na bealaí a ghlac tú leis. Teastaíonn dearadh ródaithe a chothaítear de láimh ó bhainisteoir a bhfuil suiteáil bealaí díchumasaithe aige, agus caithfear an dearadh sin a nuashonrú gach uair a athraíonn an tollán. Seiceáil an tábla ródaithe tar éis athnaisc, ní hamháin tar éis tosaithe úir.

Seiceáil an rud nach gclúdaíonn an tollán fós

Clúdaíonn an péire roghnóirí IPv4 agus faic eile. Is cinntí ar leith iad IPv6, DNS agus aon bheartas ar leibhéal an fheidhmchláir a ndéanann roghnóir leathan IPv4 neamhaird chiúin orthu. Is féidir le tollán a iompraíonn gach paicéad IPv4 gach cuardach ainm a sceitheadh fós.

Luaigh an bealach DNS atá beartaithe go sainráite, mar sceitheann tollán iomlán a réitíonn ainmneacha tríd an réiteoir logánta fós na fiosrúcháin lasmuigh den tollán agus briseann sé ainmneacha príobháideacha. Má shanntar seoladh IPv6 don chliant, teastaíonn an chóireáil chéanna ón teaghlach seoltaí sin, nó is fearr leis an óstach bealach nach gcosnaíonn an tollán. Tástáil le hainm nach féidir ach leis an taobh príobháideach a fhreagairt, agus caith le freagra poiblí mar sceitheadh.

resolvectl query intranet.example.internal
traceroute -n 1.1.1.1

Deimhnigh an tslabhra leis an dá ordú sin móide na roghnóirí idirbheartaithe ón liosta thuas. Má thaispeánann an traceroute an ródaire logánta mar an chéad léim, níl an trácht ag úsáid an tolláin is cuma a mhaíonn na roghnóirí. Ní bhíonn rochtain idirlín iomlán ach amháin nuair a ligtear an trácht roghnaithe isteach, nuair a sheoltar ar aghaidh é agus nuair a fhilltear tríd an ngeata deartha é. Is tús na slabhra sin é 0.0.0.0/0 a fháil i bpróifíl seachas a chruthúnas.