Az XFRM alapértelmezett útvonala lenyelte az IKE-ot és az ESP-t: tartsa meg a külső útvonalat

A forgalom védett, az alagút él, aztán a következő kulcsfrissítésnél meghal. Az XFRM-interfészen átmenő alapértelmezett útvonal azt a forgalmat írta le, amelyet védeni akart. Lenyelte azokat a csomagokat is, amelyek a védelem folytatásához kellettek.

A két érintett cél nem csereszabatos. Az útválasztásnak ezt kimondottan ki kell jelentenie.

Hová megy valójában a társ keresése

Jegyezze fel az aktív szabályokat, az XFRM-útvonalat tartalmazó táblát és a társ nyilvános címét. Ezután nézze meg, milyen útvonalat venne a külső kapcsolat a valódi forrásával és jelölésével. Egy általános cél semmit sem mond erről a vezérlőútvonalról. Csak a tényleges forrás és jelölés ad használható választ.

Egy sikeres kezdeti kapcsolat is keveset bizonyít. A hiba gyakran azután jelenik meg, hogy egy útvonal-telepítés megváltoztatja a választ. Az indítás sikerül, aztán az első frissítés már nem.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ha a társ keresése az XFRM-interfészbe fut, a külső csomagok abba az alagútba irányulnak, amelyet ők maguk építenek. Ez a hurok, egyetlen paranccsal látható.

Kizárási lehetőségek modern átjárón

A strongSwan útvonalalapú VPN-ről szóló dokumentációja két gyakorlati választ mutat be. Az egyik megjelöli az IKE-ot és az ESP-t, hogy az XFRM-táblára mutató szabály ne illeszkedjen rájuk. A másik meghagy egy társ-útvonalat vagy kizárást, amelyet a keresés még elérhet.

Azt válassza, amelyet szabálykészlete mellékhatások nélkül ki tud fejezni. A jelölés tiszta, ha a verem többi része már használ jelöléseket. Akkor veszélyes, ha ugyanaz a maszk más szabályban mást jelent. Mindkét csomagtípusnak mindenképp kell a kezelés.

Csak az IKE megjelölése a csomagokat az elfogott útvonalon hagyja. Ez olyan alagutat hoz létre, amely kézfogást végez, majd semmit sem szállít.

A jelölés egyetlen bit a csomag fwmark mezőjében, amelyre az átjárón semmi más nem tart igényt: a 0x1-es maszkkal vett 0x1 a szokásos választás, és két helyen kell beállítani ahhoz, hogy a kizárás működjön. A Charonnak az IKE-kapcsolaton kell, a gyermekkapcsolat bejövő és kimenő jelölésbeállításainak pedig ugyanarra az értékre van szükségük, hogy a beágyazott csomagok is megjelölve távozzanak. A 0x1-es maszk a 0xffffffff helyett szabadon hagyja a többi bitet, ami akkor számít, ha egy másik alrendszer már jelöl csomagokat ugyanazon a gazdagépen. Ha mindkettő be van állítva, a szabály kizárásként íródik le, így a megjelölt csomagok kihagyják az XFRM-útvonalat tartalmazó táblát, és a fő táblába esnek:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Ezután olvassa el a választ az alkalmazott jelöléssel. Enélkül a védett forgalom útvonalát vizsgálja, ami e szakasz kérdésének az ellenkezője.

Mit feltételez az automatikus telepítés a buildről

Automatikus útvonal-telepítés XFRM-interfészhez a strongSwan verziójától és annak konfigurációjától függ. Az interfész-azonosítónak, a telepített szabálynak és az asszociációnak mind a szándékolt objektumokra kell hivatkoznia. Az eltérés olyan útvonalként jelenik meg, amely csendesen valami valósra mutat.

Egy táblaszám vagy jelölésmaszk másolása egy másik átjáróról az, ahogy az ütközések elkezdődnek. Először ellenőrizze, mi használja már. Az ütközés a megváltoztatni kívánt alagútnál jóval messzebb hat a forgalomra, és a tünet ritkán mutat a másolatra.

A társ címének változásai a tervezés részei. A tegnapi címhez tartozó gazdagép-útvonal nem végpont-helyreállítási terv, míg a jelölés túléli ezt a változást.

Figyelje az első frissítést

A védett útvonalak telepítése után ellenőrizze a külső útvonalat, ne előtte. Ezután figyelje a következő frissítést és egy alkalmazásváltást. A hiba általában ennél az átmenetnél jelenik meg, nem az indításnál.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

A védett alapértelmezett útvonal ideiglenes eltávolítása általában helyreállítja a kapcsolatot. Ez az eredmény diagnosztikus, nem végleges.

A cél a belső forgalom és az azt szállító külső csomagok stabil szétválasztása. Írja be a választott mechanizmust és annak tábláját vagy jelölését az átjáró jegyzeteibe. Különben a szabályokhoz nyúló következő személy újra behozza a hurkot.