Shlog an bealach réamhshocraithe XFRM IKE agus ESP: coinnigh an cosán seachtrach

Tá an trácht cosanta, tá an tollán suas, agus ansin faigheann sé bás ag an gcéad athnuachan eile. Chuir bealach réamhshocraithe tríd an gcomhéadan XFRM síos ar an trácht a bhí uait a chosaint. Shlog sé freisin na paicéid a theastaíonn chun é a chosaint i gcónaí.

Níl an dá cheann scríbe i gceist in-idirmhalartaithe. Caithfidh an ródú é sin a rá go sainráite.

Cá dtéann cuardach an phiara i ndáiríre

Taifead na rialacha gníomhacha, an tábla a choinníonn an bealach XFRM agus seoladh poiblí an phiara. Ansin féach ar an gcosán a thógfadh an nasc seachtrach lena fhíorfhoinse agus a mharc. Ní insíonn ceann scríbe ginearálta aon rud duit faoin gcosán rialaithe sin. Ní thugann ach an fhíorfhoinse agus an marc fíor freagra úsáideach.

Ní chruthaíonn nasc tosaigh rathúil mórán ach an oiread. Is minic a thagann an teip chun solais tar éis do shuiteáil bealaigh an freagra a athrú. Éiríonn leis an tús, ansin ní éiríonn leis an gcéad athnuachan.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Má réitíonn cuardach an phiara isteach sa chomhéadan XFRM, déantar na paicéid sheachtracha a ródú isteach sa tollán a thógann siad féin. Sin an lúb, le feiceáil in aon ordú amháin.

Roghanna eiscthe ar gheata nua-aimseartha

Leagann doiciméadú strongSwan ar VPN atá bunaithe ar ródú amach dhá fhreagra phraiticiúla. Marcálann ceann amháin IKE agus ESP ionas nach mbaineann an riail a dhíríonn ar an tábla XFRM leo. Fágann an ceann eile bealach piara nó eisceacht a bhféadfadh an cuardach teacht uirthi fós.

Tóg an ceann is féidir le do shraith rialacha a chur in iúl gan fo-iarsmaí. Bíonn marc glan nuair a úsáideann an chuid eile den chruach marcanna cheana féin. Is contúirt é nuair a chiallaíonn an mhasc chéanna rud éigin eile i riail eile. Teastaíonn an chóireáil ón dá chineál paicéid pé scéal é.

Fágann marcáil IKE amháin na paicéid sonraí ar an gcosán gabhála. Cruthaíonn sé sin tollán a dhéanann croitheadh láimhe agus ansin ní iompraíonn sé rud ar bith.

Is é an marc ná giotán amháin i fwmark an phaicéid nach n-éilíonn aon rud eile ar an ngaeta: is é 0x1 le masc 0x1 an rogha is gnáth, agus caithfear é a shocrú in dhá áit chun go n-oibreoidh an eisiamh. Teastaíonn sé ó Charon ar an soc IKE, agus teastaíonn an luach céanna ó shocruithe marc isteach agus amach an nasc linbh ionas go dtiocfaidh paicéid ionchochlaithe amach marcáilte freisin. Fágann masc 0x1 seachas 0xffffffff na giotáin atá fágtha saor, rud atá tábhachtach nuair a bhíonn fochóras eile ag marcáil paicéid cheana féin ar an óstach céanna. Agus an dá cheann socraithe, scríobhtar an riail mar eisiamh, ionas go scipeann paicéid mharcáilte an tábla a choinníonn an bealach XFRM agus go dtiteann siad isteach sa phríomhthábla:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Ansin léigh an freagra agus an marc curtha i bhfeidhm. Gan é scrúdaíonn tú an cosán a thógann trácht cosanta, rud atá contrártha le ceist an ailt seo.

Cad a ghlacann suiteáil uathoibríoch leis faoin tógáil

Suiteáil uathoibríoch bealaigh do chomhéadan XFRM braitheann sé ar an leagan strongSwan agus ar a chumraíocht. Caithfidh ID an chomhéadain, an polasaí suiteáilte agus an comhlachas tagairt a dhéanamh do na réada beartaithe. Tagann neamhréir chun solais mar bhealach a dhíríonn go ciúin ar áit éigin fíor.

Is é cóipeáil uimhir tábla nó masc marc ó gheata eile an chaoi a dtosaíonn imbhuailtí. Seiceáil ar dtús cad a úsáideann cheana í. Bíonn tionchar ag imbhuailt ar thrácht i bhfad níos faide ná an tollán a bhí uait a athrú, agus is annamh a dhíríonn an tsiomptóm ar an gcóip.

Baineann athruithe ar sheoladh an phiara leis an dearadh. Ní plean téarnaimh críochphointe é bealach óstach d'aitheasc inné, ach maireann marc an t-athrú sin.

Coinnigh súil ar an gcéad athnuachan

Seiceáil an cosán seachtrach tar éis na bealaí cosanta a shuiteáil, ní roimhe. Ansin coinnigh súil ar an gcéad athnuachan eile agus ar aon mhalartú feidhmchláir amháin. Is gnách go dtagann an teip chun solais ag an aistriú sin seachas ag an tús.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Is gnách go n-athshocraíonn baint shealadach an bhealaigh réamhshocraithe chosanta an nascacht. Is diagnóiseach an toradh sin, ní deiridh.

Is é an sprioc deighilt chobhsaí idir an trácht istigh agus na paicéid sheachtracha a iompraíonn é. Scríobh an mheicníocht roghnaithe agus a tábla nó a marc i nótaí an gheata. Mura ndéantar, tabharfaidh an chéad duine eile a bhaineann leis na rialacha an lúb isteach arís.