IPsec-ի քաղաքականությունը կուլ է տալիս ձեր տեղական տրաֆիկը՝ ինչպես ճանաչել

Սեղանին դրված տպիչը դադարում է պատասխանել այն պահին, երբ թունելը բարձրանում է, և թունելի կարգավորումներում տպիչը ոչ մի տեղ չի հիշատակվում։ Սովորաբար պատահել է այն, որ պաշտպանված տիրույթը գրվել է այնքան լայն, որ ներառում է նրան, ուստի մեքենան այժմ փորձում է գաղտնագրել տրաֆիկ, որը պետք է մնար տեղական հատվածում։ Տեղադրված քաղաքականության ընթերցումը բացատրում է որսումը. այն ճիշտ տեղում նեղացնելը հեռավոր տրաֆիկը պահում է պաշտպանված։ Անհաջող հարցումից մինչև համապատասխան քաղաքականություն ճանապարհը տևում է մի քանի րոպե։

Հետևեք հոսքին, նախքան ընտրիչը փոխելը

Սկսեք անհաջող հարցումից և գրեք չորս արժեք՝ աղբյուրի հասցեն, որն օգտագործում է մեքենան, ճշգրիտ նպատակակետը, երթուղին, որն ընտրում է միջուկը, և քաղաքականությունը, որը համապատասխանում է այդ զույգին։

Այս չորս փաստերը որոշում են՝ որսումը դիտավորյալ է, թե պատահական։ Նպատակակետը, որն ընկնում է հեռավոր ընտրիչի ներսում, պաշտպանված է ըստ նախագծի, նույնիսկ եթե նախագիծը սխալ էր։ Նպատակակետը նրանից դուրս, որը դեռ որսվում է, նշանակում է, որ համապատասխանում է այլ բան, և ընտրիչը փոխելը չի օգնի։ Երկու դեպքերն էլ տարածված են, և դրանք տարբերում է մեկ հրաման։

Արեք դա նախքան որևէ բան խմբագրելը, որովհետև հետաքրքիր դեպքը տեղական ենթացանցն է, որը համընկնում է կապի պաշտպանած մասնավոր տիրույթի հետ։ 192.168.0.0/16-ի նման ծանոթ նախածանցերը հանդիպում են շատ ցանցերում, և դրանցից մեկի համար գրված ընտրիչը կարող է լուռ ծածկել ձերը։

Տեղականի երեք տեսակ, որոնք տարբեր կերպ են վարվում

Այս հոսթին հատկացված նպատակակետը, նույն կապի վրա գտնվող նպատակակետը և մեկ այլ ինտերֆեյսի հետևում գտնվող նպատակակետը երեք տարբեր դեպքեր են։ Միջուկը յուրաքանչյուրին տարբեր կերպ է վերաբերվում, երբ որոշում է՝ տրաֆիկը պաշտպանության կարիք ունի, թե ոչ։

Ինքը՝ դարպասի կողմից առաջացած տրաֆիկը նույնպես նույնը չէ, ինչ հաճախորդից փոխանցված տրաֆիկը։ Փոխանցված տրաֆիկի համար ճիշտ թվացող քաղաքականությունը կարող է որսալ դարպասի սեփական կառավարման սեսիան, և այդպես ադմինիստրատորը կորցնում է մուտքը, մինչ թունելը վերանորոգում է։

Օգտակար սովորությունը դեպքը բարձրաձայն անվանելն է. այս փաթեթը գալիս է ինձնի՞ց, գնում է իմ կապի՞ն, թե՞ անցնում է ինձնով։ Յուրաքանչյուր պատասխան ցույց է տալիս նեղացնելու այլ տեղ։ Դեպքը գրի առնելը նաև խանգարում է հաջորդ մարդուն նույն աշխատանքը կրկնել։

Երբ պաշտպանված տիրույթը ամբողջ մասնավոր տարածությունն է, բոլոր երեք դեպքերը կարող են միաժամանակ ընկնել նրա մեջ, և ախտանիշը դառնում է մեքենա, որը ոչնչի չի հասնում, բացի թունելի վերջնակետից։

Կարդացեք տեղադրված քաղաքականությունը, ոչ թե ֆայլը

Կարգավորման ֆայլերը նկարագրում են մտադրությունը. միջուկը պահում է այն քաղաքականությունները, որոնք իրոք համապատասխանում են։ Ցույց տվեք երկուսն էլ և անհամապատասխանությունը համարեք առաջին հայտնաբերում։

Այս հրամանները ցույց են տալիս նպատակակետի համար ընտրված երթուղին և տեղադրված քաղաքականությունները յուրաքանչյուր ուղղությամբ.

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Երթուղին ասում է, թե որ ինտերֆեյսը կօգտագործեր փաթեթը։ Քաղաքականությունների ցանկը ասում է՝ արդյոք հետո այդ փաթեթի վրա կկիրառվի ձևանմուշ, իսկ կապերի ցանկը ցույց է տալիս, թե որ ընտրիչները դեմոնը կարծում է, թե տեղադրել է։ Եթե նպատակակետը հայտնվում է հեռավոր ընտրիչում, դուք գտել եք որսումը՝ առանց գուշակելու։

Նեղացրեք ընտրիչը կամ շրջանցեք նպատակակետը

Գոյություն ունի երկու աջակցվող վերանորոգում, և նրանք պատասխանում են տարբեր հարցերի։ Ընտրիչի նեղացումը ասում է, որ այս կապը պաշտպանում է միայն ավելի փոքր տիրույթ, ինչը ճիշտ է, երբ ավելի լայն տիրույթը սխալ էր։ Շրջանցում ավելացնելը ասում է, որ այս կոնկրետ նպատակակետը երբեք չպետք է պաշտպանվի, ինչը ճիշտ է, երբ պաշտպանված տիրույթը իսկապես լայն է, և մեկ նպատակակետ բացառություն է։

Ընտրեք առաջինը, երբ կարող եք, որովհետև ավելի փոքր ընտրիչի մասին ավելի հեշտ է մտածել, և այն երևում է կապի սահմանման մեջ։ Ընտրեք երկրորդը, երբ լայն տիրույթը դիտավորյալ է, և բացառությունը մեկ հոսթ կամ ենթացանց է, որը կարող եք անվանել։

Երկուսն էլ պատկանում են այն կարգավորմանը, որին պատկանում է կապը։ Ձեռքով ավելացված կատարման ժամանակի կանոնը անհետանում է հաջորդ վերակապակցման ժամանակ, և խափանումը վերադառնում է այն պահին, երբ ոչ ոք չի հիշում շրջանցումը։

Վերատեղադրումից դիմացող բացառություններ

Փոփոխությունից հետո կրկնեք նույն անվնաս հարցումը և նայեք նույն հաշվիչներին։ Տեղական նպատակակետը պետք է պատասխանի, և նախատեսված հեռավոր նպատակակետը պետք է շարունակի ցույց տալ գաղտնագրված տրաֆիկ։

Այս երկու ստուգումները հաստատում են, որ բացառությունը վերապրել է, իսկ պաշտպանությունը՝ ոչ:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Այնուհետև դիտավորյալ անջատեք և նորից միացրեք թունելը, և կրկնեք երկուսն էլ։ Բացառությունը, որն աշխատում է վերակապակցումից առաջ և ձախողվում դրանից հետո, կիրառվել է սխալ շերտի վրա, և դա այս խնդրի վերադարձի ամենատարածված ձևն է։