Me ya sa hanyar OpenVPN ke rasa ga manufar XFRM ta strongSwan

Fakitin na iya bin hanyar OpenVPN sannan a kama su da manufar IPsec, kuma wannan haɗin yana kama da kuskuren hanya daga kowane kusurwa sai dai madaidaicin. Linux yana warware hanya sannan ya tuntuɓi wani rumbun adana manufofin tsaro daban, don haka takamaiman hanyar manufa ba ta kawar da manufar XFRM da ta dace. Alamar da ake gani ita ce zirga-zirgar da ke barin na'urar kuma ba ta taɓa isowa ba, yayin da duka ramukan biyu suke bayar da rahoton lafiya. Zaɓuɓɓuka uku ne ke warware shi, kuma wanda ka zaɓa ya dogara da wace hanya ce daga cikin biyun da za ta ɗauki wannan prefix ɗin.

Shawarwari biyu, ba ɗaya ba

Zaɓin hanya yana amsa tambaya ƙunƙunta: wane mataki na gaba da adireshin tushe za su ɗauki wannan fakitin. Rumbun manufofin tsaro yana amsa wata: shin wannan fakitin yana buƙatar kariyar IPsec, kuma a ƙarƙashin wane masu zaɓe. Dukansu suna gudana don fakitin ɗaya, kuma cika na farko ba ya faɗin komai game da na biyu. Shi ya sa canza ma'auni ko ƙara wata hanya ta tsaye na iya barin alamar ba ta canjawa.

Faɗin mai zaɓen IPsec shine sanadin da aka saba. Manufar da ke kare 172.16.0.0/12 kuma tana rufe 172.20.8.0/24, wanda mai gudanarwa zai iya niyyar isa ta ramin OpenVPN maimakon. Niyyar tana cikin teburin hanya ne kawai, kuma rumbun manufar bai taɓa saninta ba.

Ɗauki wannan a matsayin rikici tsakanin hanyoyin kariya biyu da aka saita, ba a matsayin gasa tsakanin ma'auni biyu ba. Gyaran ya danganta ga ɓangaren da aka saita da iyakar da ba daidai ba.

Karanta hanyar da kernel ɗin ke zaɓa a zahiri

Fara da binciken da kernel ke yi, gami da adireshin tushe da duk wata ƙa'idar manufa da za ta iya juya shi zuwa wani tebur. Wata hanya a babban tebur ba za a taɓa duba ta ba idan wata ƙa'ida ta farko ta zaɓi wani tebur, kuma daidaiton mafi tsayin prefix yana aiki ne kawai a cikin teburin da ƙa'ida ta zaɓa.

ip rule show
ip route show table all
ip route get 172.20.8.20 from 10.44.7.15

Umarni na ƙarshe shine mafi muhimmanci, domin yana buga hanyar da aka zaɓa tare da adireshin tushen da kernel zai yi amfani da shi. Kwatanta wannan fitar da mai zaɓen da manufar IPsec ta dace da shi. Lokacin da hanyar ta nuna muƙamai OpenVPN kuma manufar har yanzu tana dacewa da wannan biyun, ka sake haifar da rikicin ba tare da yin hasashe ba.

Ka kiyaye dumps ɗin daga adiresoshin da ba su da alaƙa kafin su isa tikit. Teburin hanya daga na'urar samarwa yana ɗauke da tsarin ciki, kuma layukan da ke amsa tambayar ne kawai suka cancanci liƙawa.

Karanta manufar da ita ma ta shafi

Jerin manufa yana nuna alkibla, masu zaɓe da samfurin da ke yanke shawarar abin da ke faruwa da fakitin da ya dace. Karanta alkiblar fita da farko, sannan gefen shigowa don zirga-zirgar dawowa, domin bandaki na gefe ɗaya yana haifar da haɗin da ya fara kuma ba ya ƙarewa.

ip -s xfrm policy
swanctl --list-sas

Kwatanta masu zaɓe a cikin jerin da prefix ɗin da haɗin ya tattauna. Kashe shigar da hanyoyi na strongSwan ba ya kawar da waɗannan manufofin, kuma canza ma'auni ba ya canza wace biyun tushe da manufa manufa ke karewa. Waɗannan gyare-gyare biyu na karya sun cancanci a cire su da wuri domin su ne abin da mutane ke fara gwadawa.

Idan jerin ba ya ɗauke da manufa don prefix ɗin da ka yi tsammani, matsalar tana wani wuri kuma teburin hanya yana faɗin gaskiya. Idan yana ɗauke da faɗin manufa da ke rufe prefix ɗin, ka sami kamun.

Zaɓuɓɓuka uku lokacin da duka hanyoyin biyu suka halatta

Ƙunƙwasa mai zaɓen IPsec shine zaɓi mafi tsafta lokacin da faɗin prefix ya kasance sauƙi ba buƙata ba. Rage mai zaɓen zirga-zirgar nesa zuwa ƙananan hanyoyin da suke da gaske a bayan IPsec yana kawar da rikicin ga kowane na'ura a lokaci ɗaya, kuma yana kashe sabunta maɓalli maimakon sabon ɓangare.

Banda hanyar wucewa ita ce zaɓin tiyata lokacin da faɗin mai zaɓe dole ya kasance. strongSwan yana goyon bayan wata hanyar haɗi daban wadda ɗanta ke amfani da yanayin pass, wanda ke gaya wa kernel cewa ba za a sarrafa zirga-zirgar da ta dace da IPsec ba. Adireshin nesa na loopback yana hana wannan haɗin a zaɓa don abokan shigowa, kuma masu zaɓen dole su bayyana ainihin biyun da aka ba da izini ba komai ba.

connections {
    openvpn-exception {
        remote_addrs = 127.0.0.1
        children {
            openvpn-exception {
                local_ts = 10.44.7.0/24
                remote_ts = 172.20.8.0/24
                mode = pass
                start_action = trap
            }
        }
    }
}

Misalan saitin strongSwan sun rubuta wannan nau'in manufa da yarjejeniyar abokin loopback. Zaɓi na uku shine zane bisa hanya da muƙaman XFRM, wanda ke ɗaure manufa ga zirga-zirgar da aka yi hanya ta wata muƙama mai suna maimakon ga babban mai zaɓe. Hijira ce ba gyara ba, kuma zirga-zirgar dole har yanzu ta cika masu zaɓen da aka tattauna.

Tabbatar da banda ba tare da raunana sauran ba

Bayan loda canjin, gwada banda da wata manufa ta yau da kullum da dole ta kasance a kare. Duba duka alkiblolin, sannan ka sauke ramin OpenVPN ka tabbatar da abin da ke faruwa da zirga-zirgar da aka banda. Banda da ke aika wannan prefix ɗin a fili cikin shiru lokacin da ramin ya faɗi shawara ce ta manufa da ya kamata ka yanke da gangan, ba a gano yayin wani lamari ba.

Rubuta wane prefix ke amfani da wace hanya da kuma dalili. In ba haka ba injiniya na gaba da ya ga faɗin mai zaɓe zai sake buɗe wannan bincike, kuma amsar za ta kasance a cikin saƙon commit da babu wanda ke karantawa.