Cikakken tunnel a strongSwan yana buƙatar 0.0.0.0/0 a ɓangarorin biyu

Haɗin strongSwan da ke aiki ga cibiyar sadarwa mai zaman kanta ɗaya ba zai ɗauki zirga-zirgar intanet ba kawai saboda wani ya gyara layi ɗaya. Cikakken tunnel yarjejeniya ce tsakanin ɓangarori biyu kan waɗanne adireshi child SA ke karewa, kuma kowane ɓangare yana kiran ɗayan dangane da kansa. Ka gyara ɓangare ɗaya ka kuskure ɗayan, to child SA ko ba zai tashi ba ko kuma zai tashi ƙunci fiye da yadda aka yi niyya. Binciken biyar da ke ƙasa suna bin wannan yarjejeniya daga abokin ciniki, ta ƙofar, har zuwa intanet.

Da farko duba mai zaɓen abokin ciniki

Abokin ciniki yana kwatanta abin da yake son karewa a ɓangaren nesa a matsayin remote_ts, kuma duk abin da yake aikawa yana fitowa daga adireshin da aka masa. Don zirga-zirgar intanet wannan ƙimar dole ta rufe wuraren da mai amfani zai isa da gaske, wanda a aikace ke nufin dukan sararin IPv4. Abokin ciniki da har yanzu ke lissafa cibiyar sadarwa ɗaya yana neman tunnel ɗin da aka raba, ko da menene sunan bayanin a cikin mu'amala. Ɓangaren tushe yawanci dynamic ne saboda ana ba da adireshin lokacin haɗawa. Tushen da aka rubuta a can yana karye da zarar rukunin adireshi ya canza.

children {
    net {
        local_ts  = dynamic
        remote_ts = 0.0.0.0/0
    }
}

Wannan guntun ba cikakken fayil ɗin haɗi ba ne, kuma wannan yana ɗauka cewa an riga an saita tabbatarwa, asali da rukunin adireshin kama-da-wane. Mai zaɓen tushe na abokin ciniki da adireshin da uwar garken ke bayarwa har yanzu dole su daidaita, in ba haka ba child SA zai tashi da iyaka da babu ɓangare da ya yi tsammani. Loda shi da swanctl --load-all ka karanta fitarwa kafin ka ɗauka an yi nasara. Fayil da aka tantance zai iya kasancewa an ƙi shi saboda mai zaɓe wanda bai yi karo da shawarar ɗayan ɓangaren ba.

Duba mai zaɓen ƙofar a ɓangarenta

Ƙofar tana karanta wannan ra'ayi daga wata hanya. Wuraren intanet na gida ne ga ƙofar, don haka local_ts nata shine faɗin kuma remote_ts yana kwatanta rukunin abokan ciniki. Wannan juyewar ita ce kuskure mafi yawa a cikin tsarin cikakken tunnel, kuma yana tsira daga bita saboda duka layukan biyu suna kama da abin yarda daban-daban.

children {
    rw {
        local_ts  = 0.0.0.0/0
        remote_ts = 10.77.0.0/24
    }
}

Kwafin guntun abokin ciniki zuwa fayil ɗin ƙofar yana samar da nau'in masu zaɓe da ba sa kwatanta wani abu mai amfani, saboda duka ɓangarorin za su yi da'awar matsayi ɗaya. Jagorar turawa ta strongSwan tana rubuta haɗin abokin ciniki da ƙofar a fili, kuma yana da kyau a karanta shi tare da fayil ɗin haɗi maimakon bayan gazawar. Fayil ɗin ƙofar kuma yana buƙatar ma'anar rukunin da remote_ts ke magana akai. Mai zaɓe da ya ambaci rukunin da babu shi yana lodawa ba tare da gunaguni ba kuma yana gazawa lokacin haɗawa.

Tsohon ipsec.conf yana amfani da matsayin hagu da dama da maɓallai daban-daban, kuma layin rightsubnet ba shine maye gurbin ƙimar swanctl kai tsaye ba. Riƙe rubutun biyu a cikin fayiloli daban maimakon liƙa ɗaya cikin ɗayan. Haɗa su a cikin babban fayil ɗaya shine yadda haɗin da ke aiki ke komawa a hankali bayan sake kunnawa.

Duba child SA da aka tattauna, ba fayil ɗin ba

Tsarin da aka adana yana tabbatar da niyya kuma babu wani abu fiye da haka. Ɗayan ɓangare na iya ƙuntata abin da aka nema, kuma ba a maye gurbin child SA da ke akwai kawai saboda fayil ɗin da ke ƙasa ya canza. Tabbatar da abin da aka shigar da gaske kafin ka canza wani abu.

swanctl --list-conns
swanctl --list-sas
ip xfrm policy list

Umarni na farko yana nuna abin da daemon ya loda, na biyu yana nuna child SA ɗin da aka kafa, na uku kuma yana nuna manufofin da kernel zai yi amfani da su. Idan fayil ɗin ya ce 0.0.0.0/0 kuma lissafin ya nuna cibiyar sadarwa ɗaya, tattaunawar ta ƙuntata iyakar kuma sake karanta fayil ɗin ba zai bayyana hakan ba. Kashe child, sake farawa, ka sake kwatanta duk fitarwar uku. Child da ya dawo da wannan ƙunƙuntaccen iyaka ana ƙuntata shi daga ɓangaren nesa ba daga fayil ɗin gida ba, kuma wannan tattaunawa ce da ɗayan mai gudanarwa ba gyara na gida ba.

Karanta duka hanyoyi biyu a cikin lissafin manufofi, saboda tunnel da ke shigar da hanya ɗaya ba ɗayan ba matsala ce ta turawa a cikin tufafin tsari. Manufofin gaba da baya ya kamata su ambaci nau'in masu zaɓe ɗaya a cikin siffar madubi, kuma madubin da ya ɓace lahani ne a cikin daemon ko a cikin shawara ba a cikin rubutun mai zaɓe ba.

Duba turawa da hanyar dawowa

Mai zaɓe yana ƙyale zirga-zirga zuwa ƙofar; ba ya sa ƙofar ta tura wannan zirga-zirgar gaba. Dole a kunna turawa, dole Tacewar wuta ta ƙyale kwarara, kuma amsar dole ta sami hanyar komawa rukunin abokan ciniki. Waɗannan buƙatu uku ne daban, kuma kowanne yana gazawa da alama daban. Ƙa'idar turawa da ta ɓace tana aiki kamar baƙin rami, yayin da hanyar dawowa da ta ɓace tana aiki kamar tunnel mai hanya ɗaya.

sysctl net.ipv4.ip_forward
iptables -t nat -S | grep -i masq
ip route get 1.1.1.1

Adireshin abokan ciniki na sirri yawanci suna buƙatar fassarar tushe da gangan kafin su bar mu'amalar jama'a, yayin da rabon da aka tura a fili yana buƙatar wata hanya. Idan NAT yana cikin wasa, riƙe keɓancewar da aiwatarwa ke goyon baya don kada zirga-zirgar da manufar tsaro ya kamata ta bincika a fassara ta wuce shi. Babbar ƙa'idar masquerade da aka kwafa daga wata ƙofa tana canza fiye da yadda marubucin ya yi niyya. Rubuta ƙa'idar don rukunin abokan ciniki kawai, ka bar sharhi da ke bayyana dalilin da ya sa take.

A kan abokin ciniki, tabbatar da hanyoyin da backend ya shigar ba hanyoyin da ka ɗauka ba. Manaja da aka kashe shigar da hanyoyi yana buƙatar tsarin turawa da ake kulawa da hannu, kuma dole a sabunta wannan tsarin duk lokacin da tunnel ɗin ya canza. Duba teburin turawa bayan sake haɗawa, ba kawai bayan sabon kunnawa ba.

Duba abin da tunnel ɗin har yanzu bai rufe ba

Nau'in masu zaɓe yana rufe IPv4 kuma babu wani abu. IPv6, DNS da duk wata manufa ta matakin aikace-aikace yanke shawara ne daban waɗanda babban mai zaɓe na IPv4 ke watsi da su cikin shiru. Tunnel da ke ɗaukar kowane fakitin IPv4 zai iya zubar da kowane bincike na suna.

Bayyana hanyar DNS da aka yi niyya a fili, saboda cikakken tunnel da har yanzu ke warware sunaye ta hanyar mai warware na gida yana zubar da tambayoyi a waje da tunnel ɗin kuma yana karya sunaye na sirri. Idan an ba abokin ciniki adireshin IPv6, wannan iyalin adireshi yana buƙatar irin wannan kulawa, in ba haka ba mai masaukin zai fi son hanyar da tunnel ɗin ba ya karewa. Gwada da sunan da kawai ɓangaren sirri zai iya amsawa, kuma ɗauki amsar jama'a a matsayin zubarwa.

resolvectl query intranet.example.internal
traceroute -n 1.1.1.1

Tabbatar da sarƙar da waɗannan umarnin biyu tare da masu zaɓen da aka tattauna daga lissafin da ke sama. Idan traceroute ya nuna na'urar turawa ta gida a matsayin tsalle na farko, zirga-zirgar ba ya amfani da tunnel ɗin ko me masu zaɓen suka ce. Samun intanet cikakke ne kawai lokacin da aka ƙyale zirga-zirgar da aka zaɓa, an tura shi kuma an dawo da shi ta ƙofar da aka tsara. Samun 0.0.0.0/0 a cikin bayani shine farkon wannan sarƙar ba hujja gare ta ba.