strongSwan zuwa AWS Site-to-Site: me ya sa Child SA ba ya zaɓar kome

Tunnel na IKE na iya kasancewa a buɗe yayin da haɗin yaro ke ware ƙananan cibiyoyin sadarwarka. Ka fara kwatanta CIDR na gida da na nesa na AWS da leftsubnet da rightsubnet.

Kwamfutar kulawa tana nuna up, strongSwan na ba da rahoton haɗin IKE da aka kafa, kuma fakiti har yanzu ba sa isowa. Abu na gaba da za a kwatanta ba shine maɓallin da aka raba tukuna ba, sai dai nau’in prefix ɗin da kowane gefe yake tsammanin tunnel ɗin yana kare su. Bi gwaje-gwajen da ke ƙasa bisa tsari, domin biyun farko suna yanke shawarar ko tunnel ɗin zai iya ɗaukar zirga-zirgarka kwata-kwata.

Fassara sunayen AWS zuwa kalmomin strongSwan

AWS na bayyana haɗin daga gefen abokin ciniki: adireshin ƙofar abokin ciniki da CIDR na gida naka ne, kuma CIDR na nesa na VPC ne. strongSwan na kiran ƙarshen biyu left da right, tare da prefix ɗinka a cikin leftsubnet da prefix ɗin VPC a cikin rightsubnet. Juya ɗaya daga cikin ma’auratan yana samar da tunnel da ke tattaunawa da zaɓar zirga-zirgar da ba daidai ba.

Sauke tsarin da AWS ke ƙirƙira don haɗin kuma ka ɗauke shi a matsayin ma’auni na wannan haɗin musamman, har da adiresoshin tunnel da prefix ɗin. Idan ka bar filayen CIDR biyu a fanko yayin ƙirƙira, sabis ɗin yana amfani da tsoho 0.0.0.0/0 a kowane gefe. Sa’an nan na’urar da aka saita da ƙunƙuntaccen prefix ba za ta taɓa daidaita da shi ba, don haka ko ka cika filayen ko ka faɗaɗa mai zaɓi da gangan.

Rashin daidaito a nan yana kama da gazawar tuƙi kuma ba haka yake ba.

Daidaita adireshin da AWS ke gani a zahiri

Na’urar da ke bayan NAT na iya aika IKE daga wata fuska da wani gefen bai taɓa sani ba. Adireshin ƙofar da aka rubuta a cikin AWS dole ne ya zama wanda AWS ke gani a kan hanyar sadarwa, kuma dole ne a daidaita na’urar zuwa wannan adireshin na gida maimakon bin hanyarta ta tsoho.

conn %default
    local_addrs = 203.0.113.10

A cikin strongSwan, local_addrs yana zaɓar adireshin tushe don IKE, kuma tsofaffin tsare-tsaren OpenSwan suna rubuta wannan ra’ayi a matsayin left. Nuna shi zuwa fuskar da ke ɗauke da adireshin jama’a, sannan ka tabbatar a kan na’urar NAT da kanta cewa UDP 500 da 4500 suna isa wannan mai masaukin, domin dokar da ta ragu daga na’urar da ta gabata tana watsar da su cikin shiru. Daidaitaccen ma’auratan mai zaɓi da adireshin tushe mara kyau har yanzu yana gazawa, kuma log ɗin zai zargi shawara. Wannan ɓatarwa ita ce dalilin da ya sa adireshin tushe ya cancanci nasa gwajin.

Tabbatar da dokar tura gaba maimakon ɗauka, domin dokar da ta kasance daidai ga na’urar da ta gabata tana yawan raguwa.

Yi maganin mataki na 1 da mataki na 2 daban

AWS na nuna zaɓuɓɓukan IKE da ESP a matsayin jerin daban-daban. Rukunin IKE da ɓangarorin biyu suka yarda da shi ba ya faɗi kome game da shawarar ESP, domin jerin biyun masu zaman kansu ne. Karanta dukansu daga tsarin da aka ƙirƙira kuma ka kwatanta su ɗaya bayan ɗaya.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Rubutun ba ya tafiya tsakanin aiwatarwa. Ma’auratan da ke aiki a OpenSwan, misali phase2alg=aes_gcm tare da ike=aes256-sha1;modp1024, suna buƙatar fassara zuwa siffar esp= da ike= na strongSwan, kuma sunayen algorithm ɗin sun bambanta. Domin GCM yana tabbatarwa yayin da yake ɓoye bayanai, ba ya buƙatar wani canjin ingancin daban, sabanin rukunin CBC da aka haɗa da SHA. Layin mataki na 2 da aka liƙa daga wani daemon zuwa wani ba tare da fassara ba yana haifar da ƙin da ake karantawa kamar rashin daidaiton mai zaɓi.

Duba haɗin yaro, ba alamar tunnel ɗin ba

Idan haɗin ya loda amma babu haɗin yaro da ya taso, an ƙi shawara ko masu zaɓi. Idan yaro ya taso kuma masu zaɓinsa sun ware prefix ɗinka, ana tace fakiti kafin su isa tunnel ɗin. Alamar kwamfutar kulawa tana rufe matakin IKE ne kawai, don haka ba za ta iya gaya maka wanne daga cikin biyun ya faru ba.

ipsec statusall

Nemo haɗin tsaro na yaro ka karanta masu zaɓin zirga-zirgar da aka buga kusa da shi, sannan ka kwatanta su da prefix ɗin tsarin da aka ƙirƙira.

Gwada daga mai masauki a cikin prefix ɗin gida zuwa mai masauki a cikin prefix ɗin VPC, kuma ka duba hanyar dawowa tare da kowane rukunin tsaro ko ACL na cibiyar sadarwa a gefen AWS. Ingantattun masu zaɓi ba sa kare fakiti daga watsi da shi daga baya.

Lokacin da har yanzu ya kasa bayan masu zaɓin sun daidaita

Tabbatar cewa hanyar a ɓangarorin biyu tana nuni zuwa tunnel ɗin, sannan ka tabbatar na’urar NAT ba ta sake rubuta zirga-zirga ta hanyar da manufar ba ta tsammani. Tunnel ɗin da ya dogara da manufa yana daidaita adiresoshin fakiti, don haka fassarar da aka yi amfani da ita bayan shawarar manufar tana canza sakamakon.

Yi rikodin fakiti ɗaya na shigowa da ɗaya na fita a kowane gefe kafin ka canza wata shawara.

Rubuta masu zaɓin, shawarwarin mataki na 1 da na 2 da adireshin tushe a cikin tikitin. Waɗannan ƙima huɗu suna bayyana yawancin gazawar site-to-site ba tare da kira ba.

Labarai masu alaƙa