IPsec-forgalomszelektorok: mit fednek le és mit nem

A forgalomszelektorok megnevezik azt a belső forgalmat, amelyet az IPsec-megállapodás véd, és a pár megtárgyalás útján jön létre, nem feltevés alapján. Két végpont tökéletesen hitelesítheti egymást, és mégis vitatkozhat arról, mely csomagok tartoznak az alagút belsejébe. Ez a nézeteltérés láthatatlan a kapcsolat állapotában, amely általában egészséges alagutat jelent. A szelektorok mindkét végpontról való elolvasása, majd egy úti cél követése gyorsabban megtalálja, mint bármennyi szabályszerkesztés.

Olvassa el mindkét végpontról

Minden végpont a saját oldalát helyiként, a másik oldalt távoliként írja le. Ugyanaz a prefixpár ezért felcserélve jelenik meg a két konfigurációban, és ez helyes, nem ellentmondásos. A nézőpont megfordítása az első dolog, amit tenni kell, amikor egy működő megállapodás papíron hibásnak tűnik. Két fájl egymás melletti összehasonlítása a felcserélésük nélkül olyan eltérést kelt, amely nem létezik.

Az értékek nem mindig egyetlen alhálózatok. Az IKEv2 szelektorok hordozhatnak címtartományokat, protokollszámokat és porttartományokat, és így véd egy szabály egy szolgáltatást egész hálózat helyett. A tervezett forgalomnál szűkebb szelektor olyan alagutat hoz létre, amely egyes úti célokat továbbít, másokat pedig csendesen kizár.

Írja fel mindkét oldalt egyetlen táblázatba, mielőtt bármit is módosítana. A gyakorlat általában eldönti a kérdést anélkül, hogy hozzányúlna egy konfigurációs fájlhoz.

A szűkítés a válaszadó döntése

A kezdeményező ajánlatot tesz, és a válaszadó csak részhalmazt fogadhat el. Az IKEv2 engedi, hogy a válaszadó leszűkítse a felajánlott forgalomszelektorokat, és a leszűkített eredmény az, ami valóban telepítésre kerül. A kezdeményező konfigurációjának olvasása tehát ajánlatot ír le, nem a megállapodást.

Ezért az ügyfélhez hozzáadott alhálózat működő alagutat hozhat létre, amely mégis elutasítja az új úti célt. A kiszolgáló az ajánlatot a szabálya által engedett mértékre szűkítette, miközben az ügyfél fájlja még a szélesebb tartományt sorolja fel. Csak a megtárgyalt állapot mutatja az igazat: Linuxon az ip xfrm policy és a child SA lista a strongSwan IKEv2-dokumentációjában azt jelenti, ami telepítve lett, nem azt, amit kértek. Amikor a kettő eltér, a válaszadó szabályát kell módosítani.

Az elutasított ajánlat más tünet, mint a leszűkített. Az elutasítás a tárgyalási naplóban jelenik meg, és egyáltalán nem hagy child-kapcsolatot.

Kövessen egy úti célt az elejétől a végéig

Válasszon egy valódi úti célt, valamint azt a forrás-címet, amelyet az ügyfél hozzá használna, majd kövesse ezt a párt három független döntésen keresztül. Az útvonal kiválaszt egy utat, a szelektor eldönti, hogy ez az út védett-e, a tűzfal pedig eldönti, hogy a csomag engedélyezett-e. Mindegyik külön-külön meghiúsulhat, és egy széles szelektor egyiket sem javítja meg.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Az útvonalkérdés megnevezi azt az interfészt és forrás-címet, amely a csomagot vinné. A szabálylista megmutatja, hogy létezik-e megfelelő alagútszabály ehhez a párhoz, beleértve annak irányát és szintjét. Az SA-lista a megtárgyalt child-szelektorokat mutatja a számlálókkal együtt, így a nulla csomagos child-kapcsolat a forgalom megkísérlése után azoknak a szelektoroknak a jele, amelyek kizárják a küldött forgalmat. Három parancs, három különböző válasz, és csak az egyik magyarázza a csendes eldobást.

Ha a child-számlálók mozognak, miközben az alkalmazás továbbra is meghiúsul, a probléma az alagúton túl van. Ez a vizsgálatot a távoli gazdagép figyelőjéhez vagy tűzfalához tereli, nem a szelektorokhoz.

Tartsa külön a két célt

Egy irodai alhálózat védelme és a teljes böngészés távoli kijáraton át küldése különböző követelmények különböző szelektorokkal. Az egyikhez épített profil ritkán felel meg a másiknak, és a keverésük vagy szivárgást, vagy törött felosztást eredményez. A védett tartomány szélesítése mindkét végpont és továbbítási szabályuk módosítását jelenti, mert az egyoldalú változásból elutasított ajánlat lesz. Ez a leggyakoribb módja annak, hogy egy működő alagút egy kis szerkesztés után leáll.

A szelektorok a kriptográfiai lefedettséget írják le, az útvonalak utat választanak, az alkalmazások pedig saját engedélyeiket érvényesítik. Egy mindent lefedő alagút mégsem ér el egy loopbackhez kötött szolgáltatást, és az alagútba vezető útvonalnak még mindig szüksége van az úti célt tartalmazó szelektorra. Ellenőrizze mindhármat ugyanazon a tesztkérésen, és az eltérés magától megnevezi magát.