Cén fáth a gcailltear bealach OpenVPN in aghaidh polasaí XFRM strongSwan

Is féidir le paicéid bealach OpenVPN a leanúint agus fós a bheith gabhála ag polasaí IPsec, agus tá an chuma ar an teaglaim sin go bhfuil fabht ródaithe ann ó gach uillinn seachas an cheann cheart. Réitíonn Linux bealach agus ansin téann sé i gcomhairle le bunachar sonraí polasaithe slándála ar leith, mar sin ní dhílonncaíonn bealach cinn scríbe níos sonraí polasaí XFRM comhoiriúnach. Is é an tsiomptóm infheicthe trácht a fhágann an t-óstach agus nach sroicheann riamh, agus an dá thollán ag tuairisciú go bhfuil siad sláintiúil. Réitíonn trí rogha é, agus braitheann cé acu a roghnaíonn tú ar cé acu den dá chonair atá i gceist chun an réimír sin a iompar.

Dhá chinneadh, ní ceann amháin

Freagraíonn roghnú bealaigh ceist chúng: cén chéad chéim eile agus cén seoladh foinse ba chóir a iompar an phaicéid seo. Freagraíonn bunachar sonraí na bpolasaithe slándála ceann eile: an dteastaíonn cosaint IPsec ón bpaicéad seo, agus faoi na roghnóirí céanna. Ritheann an dá rud don phaicéad céanna, agus ní deir comhlíonadh an chéad cheann aon rud faoin dara ceann. Sin é an fáth a bhféadfadh athrú méadrach nó bealach statach a chur leis an tsiomptóm a fhágáil gan chroitheadh.

Is é roghnóir IPsec leathan an chúis is gnáth. Clúdaíonn polasaí a chosnaíonn 172.16.0.0/12 172.20.8.0/24 freisin, a bhféadfadh riarthóir a bheith ag iarraidh a shroicheadh trí thollán OpenVPN ina ionad. Níl an rún ann ach sa tábla ródaithe, agus níor fhoghlaim an bunachar polasaithe riamh faoi.

Caith le sin mar choimhlint idir dhá chonair chosanta atá cumraithe, seachas mar chomórtas idir dhá mhéadrach. Baineann an ceartú leis an gcomhpháirt a cumraíodh leis an raon mícheart.

Léigh an bealach a roghnaíonn an t-eithne iarbhír

Tosaigh leis an gcuardach a dhéanann an t-eithne, lena n-áirítear an seoladh foinse agus aon riail pholasaí a d'fhéadfadh é a atreorú chuig tábla eile. B'fhéidir nach gcomhairlítear bealach sa phríomhthábla riamh má roghnaíonn riail níos luaithe tábla eile, agus ní bhíonn feidhm ag meaitseáil an réimíre is faide ach amháin laistigh den tábla a roghnaíonn riail.

ip rule show
ip route show table all
ip route get 172.20.8.20 from 10.44.7.15

Is é an t-ordú deireanach an ceann a bhfuil tábhacht leis, mar priontálann sé an bealach roghnaithe mar aon leis an seoladh foinse a d'úsáidfeadh an t-eithne. Cuir an t-aschur sin i gcomparáid leis an roghnóir a mheaitseálann an polasaí IPsec. Nuair a dhíríonn an bealach chuig comhéadan OpenVPN agus go meaitseálann an polasaí an phéire céanna fós, tá an choimhlint atáirgthe agat gan buille faoi thuairim.

Coinnigh na dumps saor ó sheoltaí neamhghaolmhara sula sroicheann siad ticéad. Iompraíonn tábla ródaithe ó óstach táirgeachta topology inmheánach, agus ní fiú ach na línte a fhreagraíonn an cheist a ghreamú.

Léigh an polasaí a bhfuil feidhm aige freisin

Taispeánann liosta na bpolasaithe treo, roghnóirí agus an teimpléad a chinneann cad a tharlaíonn do phaicéad comhoiriúnach. Léigh an treo amach ar dtús, ansin an taobh isteach don trácht fillte, mar cruthaíonn eisceacht aontreo nasc a thosaíonn agus nach gcríochnaíonn riamh.

ip -s xfrm policy
swanctl --list-sas

Cuir roghnóirí an liosta i gcomparáid leis na réimíreanna a chaibidil an nasc. Ní bhaineann díchumasú suiteála bealaigh strongSwan na polasaithe sin, agus ní athraíonn athrú méadrach cé acu péire foinse is cinn scríbe a chosnaíonn polasaí. Is fiú an dá fhríthcheartú sin a chur as an áireamh go luath mar is iad na chéad rudaí a thrialann daoine.

Mura bhfuil aon pholasaí sa liosta don réimír a raibh súil agat leis, tá an fhadhb in áit eile agus is dócha go bhfuil an tábla ródaithe ag insint na fírinne. Má tá polasaí níos leithne ann a chlúdaíonn an réimír, tá an ghabháil aimsithe agat.

Trí rogha nuair atá an dá chonair dlisteanach

Is é caolú an roghnóra IPsec an rogha is glaine nuair a bhí an réimír leathan ina áisiúlacht seachas ina riachtanas. Má laghdaítear roghnóir an tráchta chian díreach chuig na fo-líonta a bhaineann go fíor le IPsec, baintear an choimhlint do gach óstach ag an am céanna, agus cosnaíonn sé athchaibidliú eochrach seachas comhpháirt nua.

Is é eisceacht passthrough an rogha máinliach nuair a chaithfidh an roghnóir leathan fanacht. Tacaíonn strongSwan le nasc ar leith a úsáideann a leanbh mód pass, rud a insíonn don eithne nár cheart IPsec an trácht comhoiriúnach a phróiseáil. Coinníonn an seoladh cianda loopback an nasc sin ó bheith roghnaithe do phiaraí isteach, agus caithfidh na roghnóirí cur síos a dhéanamh ar an bhfíorpéire údaraithe seachas ar gach rud.

connections {
    openvpn-exception {
        remote_addrs = 127.0.0.1
        children {
            openvpn-exception {
                local_ts = 10.44.7.0/24
                remote_ts = 172.20.8.0/24
                mode = pass
                start_action = trap
            }
        }
    }
}

Déanann samplaí cumraíochta strongSwan doiciméadú ar an gcineál polasaí seo agus ar an gcoinbhinsiún piaraí loopback. Is é an tríú rogha dearadh bunaithe ar ródú le comhéadain XFRM, a cheanglaíonn polasaí le trácht a ródáiltear trí chomhéadan ainmnithe seachas le roghnóir domhanda. Is imirce é seachas coigeartú, agus caithfidh an trácht na roghnóirí caibidlithe a chomhlíonadh fós.

Cruthaigh an eisceacht gan an chuid eile a lagú

Tar éis an t-athrú a lódáil, tástáil an eisceacht agus ceann scríbe coitianta nach mór fanacht cosanta. Seiceáil an dá threo, ansin scaoil tollán OpenVPN agus deimhnigh cad a tharlaíonn don trácht eisceachta. Is cinneadh polasaí é eisceacht a sheolann an réimír sin go ciúin go hoscailte nuair a bhíonn an tollán síos ar cheart duit a dhéanamh d'aon ghnó, ní a aimsiú le linn eachtra.

Taifead cé acu réimír a úsáideann cé acu conair agus cén fáth. Mura ndéanfaidh tú, athosclóidh an chéad innealtóir eile a fheiceann roghnóir leathan an imscrúdú céanna, agus beidh an freagra ina luí i dteachtaireacht commit nach léann duine ar bith.