XFRM ડિફોલ્ટ રૂટે IKE અને ESP ગળી ગયો: બહારનો માર્ગ જાળવો

ટ્રાફિક સુરક્ષિત છે, ટનલ ચાલુ છે, અને પછી આગલા કી નવીકરણમાં તે મરી જાય છે. XFRM ઇન્ટરફેસ દ્વારા જતો ડિફોલ્ટ રૂટ તમે સુરક્ષિત કરવા માંગતા હતા તે ટ્રાફિકનું વર્ણન કરતો હતો. તે સુરક્ષા ચાલુ રાખવા માટે જરૂરી પેકેટોને પણ ગળી ગયો.

સંડોવાયેલા બે ગંતવ્યો એકબીજાના બદલે વાપરી શકાય તેવા નથી. રૂટિંગે તે સ્પષ્ટ કહેવું પડે.

પીઅરની શોધ ખરેખર ક્યાં જાય છે

સક્રિય નિયમો, XFRM રૂટ ધરાવતું ટેબલ અને પીઅરનું જાહેર સરનામું નોંધો. પછી બહારનું જોડાણ તેના ખરા સ્રોત અને માર્ક સાથે કયો માર્ગ લેશે તે જુઓ. સામાન્ય ગંતવ્ય તે નિયંત્રણ માર્ગ વિશે કંઈ કહેતું નથી. ફક્ત ખરો સ્રોત અને માર્ક જ ઉપયોગી જવાબ આપે છે.

સફળ પ્રારંભિક જોડાણ પણ થોડું જ સાબિત કરે છે. રૂટ ઇન્સ્ટોલેશન જવાબ બદલે તે પછી નિષ્ફળતા ઘણી વાર દેખાય છે. શરૂઆત સફળ થાય છે, પછી પ્રથમ નવીકરણ નહીં.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

જો પીઅર માટેની શોધ XFRM ઇન્ટરફેસમાં પૂરી થાય, તો બહારના પેકેટો તેઓ જે ટનલ બનાવે છે તેમાં રૂટ થાય છે. એ જ લૂપ છે, એક આદેશમાં દેખાય છે.

આધુનિક ગેટવે પર બાકાતના વિકલ્પો

strongSwanનું રૂટ-આધારિત VPN અંગેનું દસ્તાવેજીકરણ બે વ્યવહારુ જવાબો આપે છે. એક IKE અને ESPને ચિહ્નિત કરે છે જેથી XFRM ટેબલ તરફનો નિયમ તેમને લાગુ ન પડે. બીજો પીઅર માર્ગ કે બાકાત છોડે છે જ્યાં શોધ હજી પહોંચી શકે.

તમારો નિયમસમૂહ ગૌણ અસરો વિના જે વ્યક્ત કરી શકે તે પસંદ કરો. સ્ટેકનો બાકીનો ભાગ પહેલેથી માર્ક વાપરતો હોય તો માર્ક સ્વચ્છ છે. એક જ માસ્ક બીજા નિયમમાં બીજું કંઈ અર્થ ધરાવે તો તે જોખમ છે. બંને પ્રકારના પેકેટોને કોઈપણ રીતે આ સારવારની જરૂર છે.

ફક્ત IKE ચિહ્નિત કરવાથી ડેટા પેકેટો પકડાયેલા માર્ગ પર રહે છે. તે એવી ટનલ બનાવે છે જે હેન્ડશેક કરે અને પછી કંઈ વહન ન કરે.

માર્ક એ પેકેટના fwmarkમાં એક બિટ છે જેનો ગેટવે પર બીજું કંઈ દાવો કરતું નથી: માસ્ક 0x1 સાથે 0x1 સામાન્ય પસંદગી છે, અને બાકાત કામ કરે તે માટે તે બે જગ્યાએ સેટ કરવો પડે. Charonને તે IKE સોકેટ પર જોઈએ, અને ચાઇલ્ડ જોડાણની ઇનબાઉન્ડ અને આઉટબાઉન્ડ માર્ક સેટિંગ્સને એ જ મૂલ્ય જોઈએ જેથી એન્કેપ્સ્યુલેટેડ પેકેટો પણ માર્ક થયેલા નીકળે. 0xffffffffને બદલે 0x1 માસ્ક બાકીના બિટ્સ મુક્ત રાખે છે, જે ત્યારે મહત્વનું છે જ્યારે બીજું સબસિસ્ટમ પહેલેથી એ જ હોસ્ટ પર પેકેટો માર્ક કરતું હોય. બંને સેટ હોય ત્યારે નિયમ બાકાત તરીકે લખાય છે, તેથી માર્ક થયેલા પેકેટો XFRM રૂટ ધરાવતું ટેબલ છોડીને મુખ્ય ટેબલમાં પડે છે:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

પછી માર્ક લાગુ કરીને જવાબ વાંચો. તેના વિના તમે સુરક્ષિત ટ્રાફિક જે માર્ગ લે છે તેની તપાસ કરો છો, જે આ વિભાગના પ્રશ્નનો વિરોધાભાસ છે.

સ્વચાલિત ઇન્સ્ટોલેશન બિલ્ડ વિશે શું ધારે છે

XFRM ઇન્ટરફેસ માટે સ્વચાલિત રૂટ ઇન્સ્ટોલેશન strongSwan આવૃત્તિ અને તેની રૂપરેખાંકન પર આધાર રાખે છે. ઇન્ટરફેસ ID, ઇન્સ્ટોલ કરેલી નીતિ અને સંગઠન—બધાએ ઇચ્છિત ઑબ્જેક્ટનો સંદર્ભ લેવો પડે. અસંગતિ એવા રૂટ તરીકે દેખાય છે જે ચૂપચાપ ક્યાંક વાસ્તવિક તરફ નિર્દેશ કરે છે.

બીજા ગેટવેથી ટેબલ નંબર કે માર્ક માસ્ક કૉપી કરવો એ અથડામણો શરૂ થવાની રીત છે. પહેલા તપાસો કે તેનો પહેલેથી શું ઉપયોગ કરે છે. અથડામણ તમે બદલવા માંગતા ટનલથી ઘણા દૂરના ટ્રાફિક પર અસર કરે છે, અને લક્ષણ ભાગ્યે જ કૉપી તરફ નિર્દેશ કરે છે.

પીઅર સરનામાના ફેરફારો ડિઝાઇનનો ભાગ છે. ગઈકાલના સરનામા માટે હોસ્ટ રૂટ એન્ડપૉઇન્ટ પુનઃપ્રાપ્તિ યોજના નથી, જ્યારે માર્ક તે ફેરફારને ટકી રહે છે.

પ્રથમ નવીકરણ પર નજર રાખો

સુરક્ષિત રૂટ ઇન્સ્ટોલ થયા પછી બહારનો માર્ગ તપાસો, પહેલા નહીં. પછી આગલા નવીકરણ અને એક એપ્લિકેશન વિનિમય પર નજર રાખો. નિષ્ફળતા સામાન્ય રીતે શરૂઆતમાં નહીં, તે સંક્રમણમાં દેખાય છે.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

સુરક્ષિત ડિફોલ્ટ કામચલાઉ દૂર કરવાથી સામાન્ય રીતે કનેક્ટિવિટી પાછી આવે છે. તે પરિણામ નિદાનાત્મક છે, અંતિમ નહીં.

ધ્યેય એ છે કે અંદરના ટ્રાફિક અને તેને વહન કરતા બહારના પેકેટો વચ્ચે સ્થિર વિભાજન હોય. પસંદ કરેલી પદ્ધતિ અને તેનું ટેબલ કે માર્ક ગેટવેની નોંધમાં લખો. નહીં તો નિયમોને અડનારી આગલી વ્યક્તિ લૂપ ફરી લાવશે.