Yanayin trap na strongSwan: me ya sa tunnel ɗin IPsec ke jiran zirga-zirga

Babu CHILD SA da ke fitowa a cikin fitarwar matsayi, tunnel ɗin ya yi kama da matacce, sannan ping zuwa subnet ɗin nesa ya tada shi. A cikin tsarin IPsec na kan buƙata wannan jerin shine ƙira, ba laifi ba. Manufar trap tana saka mai zaɓe kuma tana jira, kuma fakiti na farko da ya dace da ita shine abin da ke fara IKE da tattaunawar CHILD SA.

Wani ɓangare na ruɗani kalmomi ne: “up” ana amfani da shi don yanayi biyu daban-daban. An loda tsarin kuma manufar kernel tana nan, amma haɗin bayanai ba ya nan. Mai lura da ke ƙirga SA masu aiki kawai zai bayar da rahoton wani wuri mai lafiya a matsayin a kashe muddin babu wanda ke aika zirga-zirga zuwa gare shi.

Tunnel marar aiki na kan buƙata ba shi da CHILD SA da zai nuna

Shigarwar trap ba ta tabbatar da komai da kanta. Tana roƙon kernel ya riƙe manufa don zirga-zirgar da aka zaɓa kuma ya ɗaga acquisition lokacin da fakiti ke buƙatar wannan manufar. Daemon ɗin yana karɓar acquisition ɗin, ya daidaita shi da ma'anar child, sannan ya yi tattaunawa daga nan. Har zuwa wannan lokacin babu IKE SA da za a nuna ma, shi ya sa duka jerin biyu na iya zama fanko a lokaci ɗaya.

Wannan jerin ne ke sa rajistan ayyukan a iya karantawa. Acquisition ɗin yana zuwa da farko, sannan IKE_SA_INIT da IKE_AUTH, sannan CHILD SA. Idan rajistar ta ƙare kai tsaye bayan acquisition, mai-trigger ɗin ya yi aiki. Tattaunawar ta kasa, kuma tambaya ta gaba game da takardun shaidar shiga, shawarwari ko isa ne, ba game da trap ba.

Da backend ɗin kernel na Linux za ka iya ganin manufar kafin kowane SA ya kasance. Gudanar da ip xfrm policy ka nemi mai zaɓen da alkibla out da samfuri da ke nuni ga haɗin. Wannan shigarwar ita ce yanayin kan buƙata, kuma kasancewarta shine abu na farko da ya kamata a tabbatar.

start_action yana yanke hukuncin ko wani abu zai jira kwata-kwata

Kowane child a cikin swanctl.conf yana ɗauke da start_action. start yana farawa lokacin da ake loda tsarin, trap yana saka manufar kuma yana jira, kuma none yana barin farawa ga wani abu dabam. Sai kawai trap ke haifar da halin “ping kuma ya tashi” da aka bayyana a sama.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Masu zaɓen zirga-zirga biyu suna bayyana abin da ake ɗauka a matsayin mai sha'awa, kuma fakiti daga mai masaukin da ke wajen waɗannan prefix ɗin ba ya kunna trap ɗin; ana yi masa route kamar yadda aka saba. Faɗaɗa masu zaɓen don sa mai-trigger ya fi kwazo yana faɗaɗa iyakar da tunnel ɗin ke iƙirarin karewa, don haka samo su daga zirga-zirgar da kake so a rufa masa asiri.

Jerin bayanan swanctl.conf yana lissafta ƙimar da aka karɓa, tare da ayyukan close da DPD daban waɗanda ke tsara abin da ke faruwa da zarar SA ya kasance.

Gano ko mai-trigger ɗin ya kunna kwata-kwata

Fara da swanctl --list-conns ka tabbatar an loda child ɗin da aikin da ka yi niyya. Sannan aika fakiti ɗaya daga mai masauki a cikin local_ts zuwa adireshin da ke cikin remote_ts ka kuma lura da swanctl --list-sas. Idan fitarwar ba ta canza ba, babu acquisition da ya isa daemon ɗin.

Dalilai biyu na yau da kullum na trap shiru: an yi wa fakiti source-NAT kafin ya taɓa manufar kuma bai ƙara dacewa da local_ts ba, ko kuwa haɗin bai taɓa loda ba saboda kuskuren sintaksis ko takardar shaidar shiga. Sake gudanar da swanctl --load-all ka karanta fitarwarsa kafin ka taɓa masu zaɓe. Haɗin da bai loda ba ba ya saka kowace manufa, don haka babu abin da zirga-zirga zai iya kunna.

Alkibla ma tana da muhimmanci: trap da aka saka don zirga-zirgar fita ba ya farawa da fakiti mai shigowa. Idan wajen nesa ne zai tada tunnel ɗin, yana buƙatar trap ɗinsa, ko kuma wannan gefen yana buƙatar start.

Jiran fakiti na farko ba koyaushe ne cinikin da ya dace ba

Zamuka na mu'amala suna lura da kuɗin saitin. Buƙata ta farko tana biyan musayar IKE da tattaunawar CHILD, kuma abokin ciniki mai ɗan gajeren wa'adi na iya dainawa kafin SA ya kasance. start mai himma yana kawar da wannan jinkirin fakiti na farko. Amma yana riƙe tunnel a buɗe don zirga-zirgar da wataƙila ba zai taɓa zuwa ba.

Abubuwa uku suna yanke shawara: sau nawa ake amfani da hanyar, ko buƙata ta farko tana da ƙayyadadden wa'adi, da ko ana iya isa ga peer a lokacin boot. Zirga-zirgar batch na lokaci-lokaci da peer wanda zai iya zama offline a lokacin boot duka suna goyon bayan trap. Abokin ciniki mai matuƙar kula da jinkiri da peer wanda koyaushe ake iya isa suna goyon bayan start. Idan ɓangarorin biyu za su iya farawa, ku amince da wanda ya mallaki mai-trigger don kada ku sami tattaunawa sau biyu.

Manufar da aka saka ita ma ba garantin hana zubewa ba ce. Idan buƙatar ita ce fail-closed, dole ne wutar bango ta zubar da zirga-zirgar da ba ta da SA, kuma wannan ƙa'idar tana rayuwa a wajen ma'anar child.

Rubuta layukan uku da ke kawo ƙarshen muhawara ta gaba

Rubuta masu zaɓe, aikin farawa da fitarwar umarnin da ke nuna manufar tana nan ba tare da SA ba. Waɗannan layuka uku suna raba “kan buƙata kuma marar aiki” da “ba ya lodawa” a lokaci na gaba da wani ya ba da rahoton tunnel ɗin a kashe. Suna ɗaukar minti ɗaya don rubuta su. Idan babu su, wannan binciken zai sake farawa daga sifili.

Gwada daga mai masaukin da ke cikin mai zaɓen da gaske. Ping daga router ɗin kansa yakan bi wata hanya dabam kuma ba ya tabbatar da komai game da manufar da ke kare subnet ɗin da ke bayansa.