Selectores de tráfico IPsec: que cobren e que non

Os selectores de tráfico nomean o tráfico interior que protexe un acordo IPsec, e o par négociase en lugar de supoñerse. Dous extremos poden autenticarse perfectamente entre si e aínda así discrepar sobre que paquetes pertencen dentro do túnel. Esa discrepancia é invisible no estado da conexión, que normalmente informa dun túnel san. Ler os selectores desde ambos os extremos e despois perseguir un destino atópao máis rápido que calquera cantidade de edición de política.

Léoos desde ambos os extremos

Cada extremo describe o seu propio lado como local e o outro lado como remoto. O mesmo par de prefixos aparece por tanto intercambiado nas dúas configuracións, e iso é correcto e non contradictorio. Inverter a perspectiva é o primeiro que hai que facer cando un acordo que funciona parece equivocado sobre o papel. Comparar dous ficheiros un ao lado do outro sen intercambialos produce unha discrepancia que non existe.

Os valores non sempre son subredes únicas. Os selectores de IKEv2 poden levar rangos de enderezos, números de protocolo e rangos de portos, e así é como unha política protexe un servizo en lugar de toda unha rede. Un selector máis estreito que o tráfico previsto produce un túnel que transporta algúns destinos e exclúe outros en silencio.

Escribe ambos os lados nunha táboa antes de cambiar nada. O exercicio adoita resolver a cuestión sen tocar ningún ficheiro de configuración.

O estreitamento é decisión do respondedor

O iniciador propón, e o respondedor pode aceptar só un subconxunto. IKEv2 permite ao respondedor estreitar os selectores de tráfico ofrecidos, e o resultado estreitado é o que realmente se instala. Ler a configuración do iniciador describe, por tanto, unha oferta, non o acordo.

Por iso unha subrede engadida ao cliente pode producir un túnel que funciona e que aínda así rexeita o novo destino. O servidor estreitou a oferta ata o que a súa política permite, mentres o ficheiro do cliente aínda enumera o rango máis amplo. Só o estado negociado mostra a verdade: en Linux, ip xfrm policy e a lista de child SA en a documentación de IKEv2 de strongSwan informan do que se instalou e non do que se pediu. Cando os dous discrepan, a política do respondedor é a que hai que cambiar.

Unha proposta rexeitada é un síntoma distinto dunha estreitada. O rexeitamento aparece no rexistro de negociación e non deixa ningunha asociación child.

Segue un destino de extremo a extremo

Escolle un destino real xunto co enderezo de orixe que o cliente usaría para el, e despois segue ese par por tres decisións independentes. A ruta escolle un camiño, o selector decide se ese camiño está protexido, e a devasa decide se o paquete está permitido. Cada un pode fallar pola súa conta, e un selector amplo non repara ningún dos outros.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

A consulta de ruta nomea a interface e o enderezo de orixe que levarían o paquete. A lista de políticas mostra se existe unha política de túnel coincidente para ese par, incluída a súa dirección e o seu nivel. A lista de SA mostra os selectores child negociados xunto cos contadores, así que unha asociación child con cero paquetes tras intentar tráfico é a sinatura de selectores que exclúen o que se envía. Tres ordes, tres respostas distintas, e só unha delas explica unha caída silenciosa.

Se os contadores child se moven mentres a aplicación segue fallando, o problema está máis aló do túnel. Iso traslada a investigación ao receptor ou á devasa do host remoto e non aos selectores.

Mantén os dous obxectivos separados

Protexer unha subrede de oficina e enviar toda a navegación por unha saída remota son requisitos distintos con selectores distintos. Un perfil construído para un raramente serve para o outro, e mesturalos produce ou unha fuga ou unha división rota. Ampliar o rango protexido significa cambiar ambos os extremos e a súa política de reenvío, porque un cambio unilateral convértese nunha proposta rexeitada. É a forma máis común de que un túnel que funcionaba deixe de funcionar tras unha edición pequena.

Os selectores describen a cobertura criptográfica, as rutas escollen camiños, e as aplicacións impoñen os seus propios permisos. Un túnel que o cobre todo segue sen poder alcanzar un servizo ligado a loopback, e unha ruta cara ao túnel segue necesitando un selector que inclúa o destino. Comproba os tres contra a mesma petición de proba, e a discrepancia nomearase soa.