Zašto IPsec sigurnosna politika nije unos u tablici ruta

Pošaljite ping na 10.20.0.5 kroz tunel i ništa se ne vraća, dok tablica ruta tvrdi da je ta podmreža dostupna. Usmjeravanje i IPsec odgovaraju na različita pitanja, a samo jedno od njih govori o dostupnosti. Pretraga naprijed bira put, zatim baza sigurnosne politike odlučuje mora li taj put biti zaštićen, ostavljen kakav jest ili odbijen. Kada se njih dvoje ne slažu, paket tiho umire, pa ih čitajte tim redom.

Počnite s pretragom, a ne s tablicom

Pitajte jezgru što bi zaista učinilo: ip route get 10.20.0.5 ispisuje odabranu rutu, izlazno sučelje i izvornu adresu koju bi koristilo. Prefiks, pravilo politike, oznaka ili preferirani izvor mogu promijeniti taj odgovor, zato je živa pretraga bolja od čitanja tablice na oko.

Testirajte odredište unutar zaštićenog raspona, a ne adresu pristupnika. Dosezanje pristupnika s druge strane dokazuje samo da neka ruta postoji; ne govori ništa o podmreži koja vam zapravo treba. Zatim potvrdite da je sučelje koje je pretraga odabrala ono za koje očekujete da će ga tunel koristiti.

Uskladite selektore na obje strane

Baza politike ima vlastite unose, a svaki navodi smjer, izvor, odredište i protokol, pa kaže što treba učiniti s paketima koji se podudaraju. Koristite ip xfrm policy da ih izlistate; zastavice pokazuju je li radnja zaštita, zaobilaženje ili blokiranje. Politika čiji su selektori širi ili uži od vašeg testnog toka neće se podudariti s njim, a paket izlazi nezaštićen. To je kvar koji tražite, a ne ruta koja nedostaje.

Usporedite stvarne vrijednosti: izvor, odredište, protokol i portove. Ako je pretraga razriješila jedan par adresa, a unos politike pokriva drugi, dva prikaza opisuju različit promet. Ponovite oba s istom kombinacijom prije nego donesete zaključak, inače ćete urediti politiku koja nikada nije bila na putu.

Podudaranje politike nije instalirano stanje

Politika koja se podudara samo kaže da paket mora biti zaštićen; jezgri je i dalje potrebna sigurnosna asocijacija da izvrši zaštitu. Izlistajte ih s ip xfrm state, ili s swanctl --list-sas kada strongSwan vodi pregovore, i pročitajte selektore i brojače na svakom unosu.

Kada se politika podudara, a nijedna asocijacija ne pokriva iste selektore, paket se odbacuje umjesto da bude poslan u čistom tekstu. To je odbacivanje koje treba tražiti kada je tunel podignut, ali jedna podmreža ne radi. Brojači govore ostalo: asocijacija koja nikad ne raste nikad nije bila odabrana, dok ona koja raste i ipak završi odbacivanjem pokazuje na udaljenu stranu. Popravak selektora i obnavljanje ključeva različiti su popravci, zato odlučite koji vam treba prije nego dirnete konfiguraciju.

Što tunel zasnovan na ruti i dalje zahtijeva

XFRM sučelje čini da tunel izgleda kao uređaj u koji možete usmjeravati, što je zaista korisno. Ono ne uklanja politiku i stanje koji odlučuju što se događa kada paket stigne tamo. Ruta doprinosi sljedećem skoku i ničemu više.

Ako uređaj postoji i ruta pokazuje u njega, a nijedna asocijacija ne odgovara unutarnjim selektorima, paket se odbacuje, i nikakvo uređivanje ruta ne stvara ključeve ili selektore. Provjerite sučelje s istim izvorom i odredištem koje ste usmjerili, pa to usporedite s popisom stanja.

Razjasnite vlasništvo prije nego što bilo što uredite

Vatrozid na hostu dodaje treću odluku za koju nijedna od dvije baze ne zna. Ispravna ruta plus politika koja se podudara plus instalirana asocijacija i dalje mogu završiti odbačenim paketom, a aplikacija prijavljuje samo istek vremena. Potvrdite da vatrozid dopušta zaštićeni promet prije nego okrivite IPsec. Snimanje na tunelskom uređaju i na fizičkom sučelju pokazuje s koje strane šifriranja je paket nestao.

Vlasništvo konfiguracije odlučuje hoće li vaš popravak preživjeti restart. Jedna komponenta može instalirati stanje dok druga upravlja rutama, a ručna izmjena druge biva prepisana sljedeći put kada se tunel podigne. Promijenite konfiguraciju vlasnika, pa ponovno pročitajte oba prikaza; RFC 4301 drži dvije baze odvojenima kada nekome drugome morate objasniti tu podjelu.