IPsec-ի երթևեկության ընտրիչներ. ինչ են նրանք ծածկում և ինչ ոչ

Երթևեկության ընտրիչները անվանում են այն ներքին երթևեկությունը, որը պաշտպանում է IPsec համաձայնությունը, և զույգը բանակցվում է, այլ ոչ թե ենթադրվում։ Երկու ծայրերը կարող են կատարելապես նույնականացնել միմյանց և այնուամենայնիվ տարաձայնվել, թե որ փաթեթներն են պատկանում թունելի ներսին։ Այդ տարաձայնությունն անտեսանելի է կապի կարգավիճակում, որը սովորաբար հաղորդում է առողջ թունելի մասին։ Ընտրիչները երկու ծայրից կարդալը և ապա մեկ նպատակակետի հետևելը գտնում է այն ավելի արագ, քան քաղաքականության ցանկացած խմբագրում։

Կարդացեք դրանք երկու ծայրից

Յուրաքանչյուր ծայր նկարագրում է իր կողմը որպես տեղական, իսկ մյուս կողմը՝ որպես հեռավոր։ Այդ պատճառով նույն նախածանցների զույգը երկու կազմաձևերում հայտնվում է փոխված, և դա ճիշտ է, ոչ հակասական։ Հեռանկարը շրջելը առաջին բանն է, որ պետք է անել, երբ աշխատող համաձայնությունը թղթի վրա սխալ է թվում։ Երկու ֆայլերի կողք կողքի համեմատությունը՝ առանց դրանք փոխելու, ստեղծում է անհամապատասխանություն, որը գոյություն չունի։

Արժեքները միշտ չէ, որ առանձին ենթացանցեր են։ IKEv2 ընտրիչները կարող են կրել հասցեների միջակայքեր, արձանագրության համարներ և պորտերի միջակայքեր, և այդպես քաղաքականությունը պաշտպանում է մեկ ծառայություն ամբողջ ցանցի փոխարեն։ Նախատեսված երթևեկությունից նեղ ընտրիչը ստեղծում է թունել, որը կրում է որոշ նպատակակետեր և լուռ բացառում է մյուսներին։

Նախքան որևէ բան փոխելը գրեք երկու կողմերն էլ մեկ աղյուսակում։ Այս վարժությունը սովորաբար լուծում է հարցը՝ առանց կազմաձևի ֆայլին դիպչելու։

Նեղացնելը պատասխանողի որոշումն է

Նախաձեռնողն առաջարկում է, և պատասխանողը կարող է ընդունել միայն ենթաբազմություն։ IKEv2-ը թույլ է տալիս պատասխանողին նեղացնել առաջարկված երթևեկության ընտրիչները, և նեղացված արդյունքն է, որ իրականում տեղադրվում է։ Այսպիսով, նախաձեռնողի կազմաձևը կարդալը նկարագրում է առաջարկ, ոչ թե համաձայնությունը։

Այդ պատճառով հաճախորդին ավելացված ենթացանցը կարող է ստեղծել աշխատող թունել, որը դեռևս մերժում է նոր նպատակակետը։ Սերվերը նեղացրել է առաջարկը մինչև այն, ինչ թույլ է տալիս իր քաղաքականությունը, մինչդեռ հաճախորդի ֆայլը դեռ թվարկում է ավելի լայն միջակայքը։ Միայն բանակցված վիճակն է ցույց տալիս ճշմարտությունը՝ Linux-ում ip xfrm policy-ը և child SA ցանկը strongSwan-ի IKEv2 փաստաթղթերում հաղորդում են այն, ինչ տեղադրվել է, այլ ոչ այն, ինչ պահանջվել է։ Երբ երկուսը տարբերվում են, պատասխանողի քաղաքականությունն է, որ պետք է փոխվի։

Մերժված առաջարկը տարբեր ախտանիշ է, քան նեղացվածը։ Մերժումը հայտնվում է բանակցությունների մատյանում և ընդհանրապես child միացում չի թողնում։

Հետևեք մեկ նպատակակետի սկզբից մինչև վերջ

Ընտրեք իրական նպատակակետ և դրա համար հաճախորդի օգտագործելիք աղբյուրի հասցեն, ապա հետևեք այդ զույգին երեք անկախ որոշումներով։ Երթուղին ընտրում է ուղի, ընտրիչը որոշում է՝ արդյոք այդ ուղին պաշտպանված է, իսկ հրշեջ պատը որոշում է՝ արդյոք փաթեթը թույլատրված է։ Յուրաքանչյուրը կարող է ձախողվել ինքնուրույն, և լայն ընտրիչը չի վերանորոգում մյուսներից ոչ մեկը։

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Երթուղու հարցումը նշում է ինտերֆեյսը և աղբյուրի հասցեն, որոնք կկրեն փաթեթը։ Քաղաքականությունների ցանկը ցույց է տալիս՝ արդյոք այդ զույգի համար գոյություն ունի համապատասխան թունելի քաղաքականություն, ներառյալ դրա ուղղությունը և մակարդակը։ SA ցանկը ցույց է տալիս բանակցված child ընտրիչները հաշվիչների հետ միասին, ուստի զրո փաթեթով child միացումը երթևեկությունը փորձելուց հետո այն ընտրիչների ստորագրությունն է, որոնք բացառում են ուղարկվողը։ Երեք հրաման, երեք տարբեր պատասխան, և դրանցից միայն մեկն է բացատրում լուռ կորուստը։

Եթե child հաշվիչները շարժվում են, մինչ հավելվածը դեռ ձախողվում է, խնդիրը թունելից այն կողմ է։ Դա հետաքննությունը տեղափոխում է հեռավոր հոսթի լսողին կամ հրշեջ պատին, ոչ թե ընտրիչներին։

Առանձին պահեք երկու նպատակները

Գրասենյակային ենթացանցի պաշտպանությունը և ամբողջ դիտարկումը հեռավոր ելքի միջով ուղարկելը տարբեր պահանջներ են՝ տարբեր ընտրիչներով։ Մեկի համար կառուցված պրոֆիլը հազվադեպ է համապատասխանում մյուսին, և դրանց խառնումը տալիս է կա՛մ արտահոսք, կա՛մ կոտրված բաժանում։ Պաշտպանված միջակայքի ընդլայնումը նշանակում է փոխել երկու ծայրերն ու դրանց փոխանցման քաղաքականությունը, որովհետև միակողմանի փոփոխությունը դառնում է մերժված առաջարկ։ Սա ամենասովորական ձևն է, որով աշխատող թունելը փոքր խմբագրումից հետո դադարում է աշխատել։

Ընտրիչները նկարագրում են գաղտնագրային ծածկույթը, երթուղիները ընտրում են ուղիներ, իսկ հավելվածները պարտադրում են իրենց սեփական թույլտվությունները։ Ամեն ինչ ծածկող թունելը դեռ չի կարող հասնել loopback-ին կապված ծառայությանը, և թունել մտնող երթուղին դեռ պետք է նպատակակետը ներառող ընտրիչ։ Ստուգեք բոլոր երեքը նույն փորձնական հարցմամբ, և անհամապատասխանությունն ինքն իրեն կանվանի։