A ruta predeterminada de XFRM tragou IKE e ESP: conserve o camiño exterior

O tráfico está protexido, o túnel está activo e entón morre na seguinte renovación de claves. Unha ruta predeterminada pola interface XFRM describía o tráfico que quería protexer. Tamén tragou os paquetes necesarios para seguir protexéndoo.

Os dous destinos implicados non son intercambiables. O encamiñamento ten que dicilo explicitamente.

A onde vai realmente a busca do par

Anote as regras activas, a táboa que contén a ruta XFRM e o enderezo público do par. Despois mire o camiño que tomaría a conexión exterior co seu orixe e marca reais. Un destino xenérico non lle di nada sobre ese camiño de control. Só o orixe e a marca reais dan unha resposta útil.

Unha conexión inicial correcta tamén demostra pouco. O fallo adoita aparecer despois de que unha instalación de ruta cambie a resposta. O arranque funciona, pero a primeira renovación non.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Se a busca do par remata na interface XFRM, os paquetes exteriores encamiñanse cara ao túnel que eles mesmos constrúen. Ese é o bucle, visible cun só comando.

Opcións de exclusión nunha pasarela moderna

A documentación de strongSwan sobre VPN baseada en encamiñamento expón dúas respostas prácticas. Unha marca IKE e ESP para que a regra que apunta á táboa XFRM non coincida con eles. A outra deixa unha ruta do par ou unha exclusión que a busca aínda pode acadar.

Tome a que o seu conxunto de regras poida expresar sen efectos secundarios. A marca é limpa cando o resto da pila xa usa marcas. É un perigo cando a mesma máscara significa outra cousa noutra regra. Os dous tipos de paquete necesitan o tratamento de todos os xeitos.

Marcar só IKE deixa os paquetes de datos no camiño capturado. Iso produce un túnel que fai o handshake e despois non transporta nada.

A marca é un bit do fwmark do paquete que nada máis na pasarela reclama: 0x1 con máscara 0x1 é a elección habitual, e debe definirse en dous lugares para que a exclusión funcione. Charon necesita na socket de IKE, e os axustes de marca de entrada e saída da conexión filla necesitan o mesmo valor para que os paquetes encapsulados tamén saian marcados. Unha máscara 0x1 en lugar de 0xffffffff deixa libres os bits restantes, o que importa cando outro subsistema xa marca paquetes no mesmo host. Con ambos definidos, a regra escríbese como exclusión, de modo que os paquetes marcados saltan a táboa que contén a ruta XFRM e pasan á táboa principal:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Despois lea a resposta coa marca aplicada. Sen ela examina o camiño que toma o tráfico protexido, que é o contrario da pregunta desta sección.

Que presupón a instalación automática sobre a compilación

Instalación automática de rutas para unha interface XFRM depende da versión de strongSwan e da súa configuración. O ID da interface, a política instalada e a asociación deben referirse todos aos obxectos previstos. Unha discrepancia maniféstase como unha ruta que apunta en silencio a un lugar real.

Copiar un número de táboa ou unha máscara de marca doutra pasarela é como comezan as colisións. Comprobe primeiro que a usa xa. Unha colisión afecta tráfico moito máis alá do túnel que quería cambiar, e o síntoma raramente sinala a copia.

Os cambios de enderezo do par forman parte do deseño. Unha ruta de host para o enderezo de onte non é un plan de recuperación do extremo, mentres que unha marca sobrevive a ese cambio.

Vixie a primeira renovación

Comprobe o camiño exterior despois de instalar as rutas protexidas, non antes. Despois vixie a seguinte renovación e un intercambio de aplicación. O fallo adoita aparecer nesa transición e non no arranque.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Quitar temporalmente a ruta predeterminada protexida adoita restaurar a conectividade. Ese resultado é diagnóstico, non definitivo.

O obxectivo é unha separación estable entre o tráfico interno e os paquetes exteriores que o transportan. Escriba o mecanismo elixido e a súa táboa ou marca nas notas da pasarela. Doutro xeito, a seguinte persoa que toque as regras reintroducirá o bucle.