Mód trap strongSwan: cén fáth a bhfanann an tollán IPsec le haghaidh tráchta

Ní thagann aon CHILD SA chun solais san aschur stáit, breathnaíonn an tollán marbh, agus ansin tógann ping go dtí an fosphíonra é. I socrú IPsec ar éileamh is é an t-ord sin an dearadh, ní locht. Suiteálann beartas trap roghnóir agus fanann sé, agus is é an chéad phaicéad a mheaitseálann é a thosaíonn IKE agus idirbheartaíocht CHILD SA.

Cuid den mhearbhall is foclóir é: úsáidtear “up” do dhá staid éagsúla. Tá an chumraíocht luchtaithe agus tá beartas an eithne ann, ach níl an chomhcheangal sonraí ann. Tuairisceoidh monatóir nach gcomhaireann ach SAanna gníomhacha suíomh sláintiúil mar shuíomh síos chomh fada agus nach seolann éinne trácht chuige.

Níl aon CHILD SA ag tollán neamhghníomhach ar éileamh le taispeáint

Ní dheimhníonn iontráil trap aon rud ann féin. Iarrann sí ar an eithne beartas a choinneáil don trácht roghnaithe agus acquisition a ardú nuair a theastaíonn an beartas sin ó phaicéad. Faigheann an daemon an acquisition, meaitseálann sé le sainmhíniú child é agus déanann sé idirbheartaíocht as sin. Go dtí an pointe sin níl aon IKE SA le taispeáint ach an oiread, agus sin an fáth a bhféadfadh an dá liosta a bheith folamh ag an am céanna.

Is é an t-ord sin a dhéanann na logaí inléite. Tagann an acquisition ar dtús, ansin IKE_SA_INIT agus IKE_AUTH, ansin an CHILD SA. Má chríochnaíonn an log díreach tar éis an acquisition, d'oibrigh an truicear. Theip ar an idirbheartaíocht, agus baineann an chéad cheist eile le dintiúir, tograí nó inrochtaineacht, ní leis an trap.

Le backend eithne Linux is féidir leat an beartas a fheiceáil sula bhfuil aon SA ann. Rith ip xfrm policy agus féach an roghnóir le treo out agus teimpléad a dhíríonn ar an nasc. Is í an iontráil sin an staid ar éileamh, agus is é a láithreacht an chéad rud atá le deimhniú.

Cinneann start_action an bhfanfaidh aon rud ar chor ar bith

I ngach child i swanctl.conf tá start_action. start tosaíonn sé nuair a luchtaítear an chumraíocht, trap suiteálann sé an beartas agus fanann, agus none fágann sé an tús le rud éigin eile. Ní chruthaíonn ach trap an t-iompar “ping agus éiríonn sé” a thuairiscítear thuas.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Sainmhíníonn an dá roghnóir tráchta cad a chomhairtear mar rud suimiúil, agus ní spreagann paicéad ó óstach lasmuigh de na réimíriú sin an trap; déantar é a ródú mar is gnách. Má leathnaítear na roghnóirí chun an truicear a dhéanamh níos fonnmhaire, leathnaítear freisin an raon a mhaíonn an tollán a chosaint, mar sin díorthaigh iad ó thrácht a bhfuil sé ar intinn agat a chriptiú.

Liostaíonn tagairt swanctl.conf na luachanna a nglactar leo, mar aon leis na gníomhartha ar leith close agus DPD a rialaíonn cad a tharlaíonn nuair a bhíonn an SA ann.

Faigh amach ar spreagadh an truicear ar chor ar bith

Tosaigh le swanctl --list-conns agus deimhnigh go bhfuil an child luchtaithe leis an ngníomh a bhí beartaithe agat. Ansin seol paicéad amháin ó óstach taobh istigh de local_ts chuig seoladh taobh istigh de remote_ts agus breathnaigh ar swanctl --list-sas. Mura n-athraíonn an t-aschur, níor shroich aon acquisition an daemon.

Dhá chúis choitianta le trap ciúin: rinneadh source-NAT ar an bpaicéad sula bhuail sé an beartas agus ní mheaitseálann sé local_ts a thuilleadh, nó níor luchtaíodh an nasc riamh mar gheall ar earráid chomhréire nó dintiúir. Rith swanctl --load-all arís agus léigh a aschur sula mbaineann tú le roghnóirí. Ní shuiteálann nasc nár luchtaíodh aon bheartas, mar sin níl aon rud ann le spreagadh ag an trácht.

Tá tábhacht leis an treo freisin: ní thosaíonn trap atá suiteáilte do thrácht amach ar phaicéad isteach. Má tá an taobh cianda chun an tollán a ardú, teastaíonn a trap féin uaidh, nó teastaíonn ón taobh seo start.

Ní hé fanacht leis an gcéad phaicéad an mhalairt cheart i gcónaí

Aithníonn seisiúin idirghníomhacha costas an tsocraithe. Íocann an chéad iarratas as an malartú IKE agus as an idirbheartaíocht CHILD, agus féadfaidh cliant le spriocdháta gearr éirí as sula mbeidh an SA ann. Baineann start réamhghníomhach an mhoill chéad-phaicéid sin. Ach coinníonn sé tollán suas do thrácht nach dtagann riamh b'fhéidir.

Cinneann trí fhíric an rogha: cé chomh minic a úsáidtear an cosán, an bhfuil spriocdháta daingean ag an gcéad iarratas, agus an bhfuil an piara inrochtana ag am tosaithe. Tugann trácht baisce corr agus piara a d'fhéadfadh a bheith as líne ag am tosaithe araon tacaíocht do trap. Tugann cliant atá íogair do mhoill agus piara atá inrochtana i gcónaí tacaíocht do start. Más féidir leis an dá thaobh tús a chur, aontaígí cé a shealbhaíonn an truicear ionas nach mbeidh idirbheartaíochtaí dúbailte agaibh.

Ní ráthaíocht frithsceithe é beartas suiteáilte ach an oiread. Más é an riachtanas fail-closed, caithfidh an balla dóiteáin trácht gan SA a scriosadh, agus maireann an riail sin lasmuigh de shainmhíniú child.

Scríobh síos na trí líne a chuireann deireadh leis an gcéad argóint eile

Scríobh síos na roghnóirí, an gníomh tosaithe agus aschur an ordaithe a thaispeánann an beartas i láthair gan SA. Scarann na trí líne sin “ar éileamh agus neamhghníomhach” ó “ní luchtaítear” an chéad uair eile a thuairisceoidh duine éigin go bhfuil an tollán síos. Tógann sé nóiméad iad a ghabháil. Gan iad tosaíonn an imscrúdú céanna ón náid.

Tástáil ó óstach atá go fírinneach taobh istigh den roghnóir. Is minic a leanann ping ón ródaire féin cosán difriúil agus ní chruthaíonn sé aon rud faoin mbeartas a chosnaíonn an fosphíonra ina dhiaidh.