IPsec-ը բազմաթիվ ենթացանցերով կորցնո՞ւմ է վերադարձի տրաֆիկը։ Հաշվե՛ք reqid-ները

Տրաֆիկը հեռանում է մի վայրից և երբեք չի վերադառնում, երկու դարպասներն էլ հաղորդում են ավարտված բանակցության մասին, և միակ հուշումը պատասխաններ չունեցող ելքային փաթեթների կույտն է։ Linux վերջնակետում սովորական պատճառը գաղտնագրման ուժը, MTU-ն կամ երթուղավորման աղյուսակը չէ։ Դա քաղաքականության գրառումների մանրամասնությունն է և այն համարը, որը կապում է յուրաքանչյուր քաղաքականություն անվտանգության ասոցիացիայի հետ։ Ստորև ներկայացված ընթացակարգը կարդում է այդ երկու բազաները նախքան որևէ այլ բանի դիպչելը։

Առանձնացրե՛ք ախտանիշը նախքան որևէ բան փոխելը

Ավարտված IKE բանակցությամբ միակողմանի խափանումը նեղացնում է խնդիրը մինչև տվյալների ուղին։ Կամ ելքային քաղաքականությունը համընկել է, և պատասխանը մերժվել է, կամ պատասխանը երբեք չի հասել, որովհետև մյուս կողմը ոչինչ չուներ այն ուղարկելու համար։ Հավելվածի համար երկու դեպքն էլ նույն տեսքն ունի, և xfrm բազաները տարբերում են դրանք։

Չսկսե՛ք MTU-ից։ Սխալ MTU-ն առաջացնում է կանգեր և մասնատման ախտանիշներ, ոչ թե ուղղության մաքուր բաժանում աճող ելքային հաշվիչներով։

Կարդացե՛ք քաղաքականության բազան և վիճակների բազան

Linux-ում գաղտնագրումը որոշում են քաղաքականության գրառումները, ուստի համապատասխան քաղաքականությունը, ոչ թե երթուղին, փաթեթը մտցնում է թունել։ Գործարկե՛ք ip xfrm policy՝ յուրաքանչյուր գրառման ընտրիչները, ուղղությունը, առաջնահերթությունը և ձևանմուշը տեսնելու համար, և ip xfrm state՝ հաստատված ասոցիացիաները իրենց reqid-ներով տեսնելու համար։ Քաղաքականությունը և ասոցիացիան կապված են այդ reqid-ով։

Նայե՛ք բոլոր երեք ուղղություններին։ Ելքայինը և մուտքայինը ընդգրկում են տրաֆիկը դեպի այս հոսթ և նրանից. փոխանցման ուղղությունը կարևոր է, երբ հոսթը երթուղավորում է ուրիշների փոխարեն։ Բացակայող կամ անհամապատասխան գրառումը մեկ ուղղությամբ բացատրում է միակողմանի արդյունքը առանց որևէ գաղտնագրային խափանման։

Դասական ասիմետրիան՝ մեկ reqid մի քանի ենթացանցերի համար

Հաճախակի խափանումը գալիս է գործընկերոջից, որը բոլոր բանակցված ենթացանցերի քաղաքականությունները տեղադրում է մեկ reqid-ի ներքո, ինչը տեղի է ունենում racoon-ի generate_policy require դեպքում։ Տրաֆիկն այնուհետև դուրս է գալիս վերջին հաստատված ասոցիացիայով, մինչդեռ մյուս կողմը պահում է առանձին ասոցիացիա յուրաքանչյուր ենթացանցի համար։ Պատասխանները գալիս են մի ասոցիացիայի, որի reqid-ը չի նշում այն քաղաքականությունը, որը պետք է ընդուներ դրանք, և միջուկը դրանք դեն է նետում ապակոդավորումից հետո։

Ուղղումը կոնֆիգուրացիայի փոփոխություն է, ոչ թե հրապարակի կանոն. generate_policy unique; յուրաքանչյուր քաղաքականության տալիս է իր reqid-ը, որպեսզի գործընկերոջ քաղաքականությամբ պայմանավորված ասոցիացիաներն ունենան համապատասխան գործընկերներ։ Կիրառե՛ք այն, նորից բանակցե՛ք և հաշվե՛ք տարբեր reqid-ները սպասվող ենթացանցերի համար նախքան հաջողություն հայտարարելը։

Եթե երկու ենթացանց դեռ կիսում են մեկ reqid, մինչդեռ մյուս կողմը սպասում է երկուսի, դուք գտել եք ասիմետրիան։ Գրառե՛ք համապատասխանությունը, որովհետև դա այն ապացույցն է, որ հաջորդ փոփոխությունը ուղղեց կամ պահպանեց այն։

Ընտրիչները գալիս են բանակցությունից, ոչ թե ձեր կոնֆիգուրացիայից

Պաշտպանված միջակայքերն այն են, ինչի շուրջ պայմանավորվել են երկու ծայրերը, ոչ թե այն, ինչ պահանջել է կողմերից մեկը։ Հաճախորդը, որն առաջարկում է հոսթերի զույգ լայն հեռավոր միջակայքի դիմաց, ստանում է դարպասի նեղացված տարբերակը, և հաճախորդը չի կարող լայնացնել այն։ Կարդացե՛ք տեղադրված ընտրիչները, ոչ թե ձեր լոկալ ֆայլում եղածները։

Երբ նպատակը հակառակն է՝ մեկ նպատակակետ թունելից դուրս պահելը, ավելացրե՛ք շրջանցման քաղաքականություն ավելի ցածր առաջնահերթության համարով, որպեսզի այն հաղթի ավտոմատ տեղադրված գրառմանը։ Առանց ձևանմուշի քաղաքականությունը թույլ է տալիս բաց տեքստ, ինչը այն դարձնում է փոփոխությունների մատյանի համար դիտավորյալ բացառություն, այլ ոչ թե վրիպազերծման քայլ։

Ստուգե՛ք այս հերթականությամբ և իմացե՛ք, թե ինչպես հետ վերադառնալ

Թվարկե՛ք քաղաքականությունները յուրաքանչյուր ենթացանցի համար երկու ուղղությամբ՝ ներառյալ փոխանցումը, եթե հոսթը երթուղավորում է։ Հաշվե՛ք տարբեր reqid-ները և հաստատե՛ք մեկը յուրաքանչյուր քաղաքականության համար այն կողմում, որը դրան սպասում է։ Համեմատե՛ք տեղադրված ընտրիչները բանակցվածների հետ։ Բանալու նորացումից հետո նորից կարդացե՛ք ասոցիացիայի հաշվիչները, որովհետև ստուգված ասոցիացիան կարող է արդեն անհետացած լինել։ Երթուղիները ստուգե՛ք վերջում, քանի որ հեռավոր ենթացանցի բացակայող երթուղին տալիս է նման միակողմանի ախտանիշ մաքուր քաղաքականության հաշվիչներով։

Նախքան գործընկերոջը փոխելը պահե՛ք երկու xfrm հրամանների ընթացիկ ելքը։ Եթե նոր պարամետրը չի վերականգնում վերադարձի ուղղությունը, այդ ելքի վերականգնումը ավելի արագ հետգլորում է, քան թունելը հիշողությունից վերակառուցելը, և այն ազնիվ է պահում համեմատությունը։