Hogyan működik az útvonal-alapú IPsec egy XFRM-interfésszel

Az útvonal-alapú IPsec olyan döntést ad át az útvonaltáblának, amelyet korábban házirend-választók hoztak. Linuxon ezt az XFRM-interfész teszi lehetővé: egy virtuális eszköz, amelynek forgalma interfész-azonosító, nem pedig választó alapján párosul az IPsec-állapothoz. Egy ilyen létrehozása egyetlen parancs, és semmit sem bizonyít arról, hogy létezik-e alagút. Az eszköz egy kampó az útválasztás és a biztonsági házirend között, és a kampó mindkét oldalát konfigurálni kell, mielőtt bármi védve lenne.

Mi az eszköz és mi nem

Az XFRM-interfész egy útválasztási fogantyú. A bele irányított csomagok azokkal az XFRM-házirendekkel párosulnak, amelyek ugyanarra az interfész-azonosítóra hivatkoznak, és ha van házirend és állapot, akkor beágyazódnak. Ezek nélkül az interfész létezik, a számlálók mozdulatlanok maradnak, és a forgalom valahová haszontalanul megy.

Ez az első diagnosztikai felosztás. Az eszközbe vezető útvonal útválasztási tény, a telepített állapot biztonsági tény, és az eszközön emelkedő számláló egyik sem. Amikor az emberek azt mondják, hogy az alagút fel van, mert az interfész UP-t mutat, egy saját társ nélküli virtuális eszköz kapcsolódási jelzőit írják le. A jelző azt jelenti, hogy az eszköz létrejött és engedélyezve lett, semmi többet.

Még egy határ: az interfész-azonosító nem név. Két hasonló nevű és eltérő azonosítójú eszköz nem osztozik állapoton, és a rossz azonosítóval konfigurált kapcsolat olyan állapotot telepít, amelyet egyetlen útvonal sem fog használni.

Építsen egyet a helyes sorrendben

Kezdje a külső eszközzel és egy számmal, amelyet a démon konfigurációjába is beír. A példa a eth0-t használja külső interfészként és a 42-t azonosítóként, ezeket a címeket érdemes a sajátjaival helyettesíteni.

Hozza fel az eszközt, majd erősítse meg a kernel által rögzített azonosítót, mielőtt hozzányúlna a VPN-konfigurációhoz:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Most konfigurálja a kapcsolatot a strongSwanban ugyanazzal az azonosítóval, mivel a démonnak az arra hivatkozó házirendeket és állapotokat kell telepítenie. Állítsa a helyi és távoli forgalomválasztókat arra a tartományra, amelyet irányítani kíván, majd irányítsa azt a tartományt az eszközbe. A démon konfigurációjának és az útvonaltáblának meg kell egyeznie az azonosítóban és a célokban is, és egyik sem szolgáltatja a másikat.

Tartsa az IKE-t és az ESP-t az alagút útvonalán kívül

Az XFRM-eszközbe mutató alapértelmezett útvonal elkapja a beágyazott csomagokat és az általuk szállított forgalmat is. Az eredmény egy hurok: az átjáró a saját ESP-jét azon az alagúton próbálja elküldeni, amelyet az ESP-nek kellene felépítenie.

A megoldás egy konkrétabb útvonal a társ külső címéhez a fizikai interfészen keresztül, amely legyőzi az alapértelmezettet, mert több bitet egyeztet. A jelölésalapú útválasztás ugyanezt teszi, amikor több alagút osztozik egy táblán, és a strongSwan mindkét megközelítést dokumentálja az útvonal-alapú telepítésekhez.

Bármit is választ, ellenőrizze, hogy a külső csomag beágyazás nélkül távozik. Gyors ellenőrzés a társ külső címének pingelése, miután az alagút feljött; ha ez meghiúsul, miközben az interfész fel van, inkább elfogásra, mint elérhetőségre gyanakodjon. Ugyanez az érvelés vonatkozik az IKE-portra, mert a démon saját UDP-forgalmát nem szabad abba az eszközbe irányítani, amelyet megpróbál létrehozni.

Ellenőrizze a számlálókat két helyen, mielőtt a titkosítást okolná

Az interfész-számlálók és az állapotszámlálók különböző szakaszokat mérnek. Az eszközbe irányított csomagok akkor is növelik az eszközt, ha egyetlen állapot sem egyezik, míg az állapotszámlálók csak a ténylegesen beágyazott forgalomra mozdulnak.

Olvassa el mindkettőt, majd a démon gyermektársításról alkotott nézetét:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Az eszközszámlálók emelkedése üres állapotkimenet mellett azt jelenti, hogy az útválasztás működik és a házirend nem egyezik, általában azonosító- vagy választóhiba. Az állapotszámlálók emelkedése, miközben a távoli oldal semmit sem jelent, azt jelenti, hogy a csomagok elmennek, de nem érkeznek meg vagy hitelesítési hibát szenvednek, ami az útvonalra vagy a társ konfigurációjára utal. A nulla forgalmú, listázott gyermek az egyik vég választóproblémája, nem törött titkosító.

Döntse el, ki telepíti az útvonalakat

Két tulajdonos egy útvonaltáblához a szokásos rezgésforrás. Ha a démon automatikusan telepít útvonalakat, a hálózatkezelője nem telepíthet mellé alapértelmezett útvonalat ugyanazon az eszközön, és az indítószkript által hozzáadott kézi útvonalat a démon következő újrakonfigurálásakor eltávolítják.

Válasszon egy tulajdonost, és írja le. Amikor a démon birtokolja az útvonalakat, tartsa az indítószkriptet a táblán kívül, és hagyja, hogy a kapcsolatdefiníció írja le a forgalomválasztókat. Amikor a hálózatkezelő birtokolja őket, kapcsolja ki az automatikus telepítést, és fogadja el, hogy a démon újracsatlakozáskor nem javítja a hiányzó útvonalat.

A továbbítási és tűzfal-szabályok ezen felül külön döntés, mert a más gazdagépek forgalmát átengedő átjárónak mindkettőre szüksége van. Az útvonal-alapú IPsec ezt a forgalmat könnyen kifejezhetővé teszi hétköznapi útválasztási eszközökkel; nem teszi választhatóvá a házirend-réteget.