XFRM-ի լռելյայն երթուղին կուլ տվեց IKE-ն և ESP-ն՝ պահեք արտաքին ուղին

Երթևեկությունը պաշտպանված է, թունելը աշխատում է, և հետո այն մահանում է հաջորդ բանալիների թարմացման ժամանակ։ XFRM ինտերֆեյսով անցնող լռելյայն երթուղին նկարագրում էր այն երթևեկությունը, որը ցանկանում էիք պաշտպանել։ Այն նաև կուլ տվեց պաշտպանությունը շարունակելու համար անհրաժեշտ փաթեթները։

Ներգրավված երկու նպատակակետերը փոխարինելի չեն։ Երթուղավորումը պետք է դա ասի բացահայտ։

Ուր է իրականում գնում գործընկերոջ որոնումը

Գրանցեք ակտիվ կանոնները, XFRM երթուղին պարունակող աղյուսակը և գործընկերոջ հանրային հասցեն։ Ապա նայեք այն ուղուն, որը արտաքին կապը կանցնի իր իրական աղբյուրով և նշանով։ Ընդհանուր նպատակակետը ոչինչ չի ասում այդ կառավարման ուղու մասին։ Միայն իրական աղբյուրն ու նշանն են տալիս օգտակար պատասխան։

Հաջող նախնական կապը նույնպես քիչ բան է ապացուցում։ Ձախողումը հաճախ ի հայտ է գալիս այն բանից հետո, երբ երթուղու տեղադրումը փոխում է պատասխանը։ Մեկնարկը հաջողվում է, ապա առաջին թարմացումը՝ ոչ։

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Եթե գործընկերոջ որոնումը հայտնվում է XFRM ինտերֆեյսում, արտաքին փաթեթները երթուղավորվում են այն թունելի մեջ, որը նրանք իրենք են կառուցում։ Դա է օղակը՝ տեսանելի մեկ հրամանով։

Բացառման տարբերակները ժամանակակից դարպասում

strongSwan-ի երթուղու վրա հիմնված VPN-ի փաստաթղթերը ներկայացնում են երկու գործնական պատասխան։ Մեկը նշում է IKE-ն և ESP-ն, որպեսզի XFRM աղյուսակին ուղղված կանոնը նրանց չհամապատասխանի։ Մյուսը թողնում է գործընկերոջ երթուղի կամ բացառում, որին որոնումը դեռ կարող է հասնել։

Վերցրեք այն, ինչ ձեր կանոնների հավաքածուն կարող է արտահայտել առանց կողմնակի ազդեցությունների։ Նշանը մաքուր է, երբ մնացած փաթեթը արդեն օգտագործում է նշաններ։ Այն վտանգ է, երբ նույն դիմակը մեկ այլ կանոնում այլ բան է նշանակում։ Փաթեթների երկու տեսակներն էլ ամեն դեպքում կարիք ունեն այդ մշակման։

Միայն IKE-ն նշելը փաթեթները թողնում է բռնված ուղու վրա։ Դա ստեղծում է թունել, որը ձեռքսեղմում է անում, ապա ոչինչ չի տեղափոխում։

Նշանը մեկ բիթ է փաթեթի fwmark-ում, որի վրա դարպասում ոչինչ այլ չի հավակնում: 0x1-ը 0x1 դիմակով սովորական ընտրությունն է, և այն պետք է սահմանել երկու տեղում, որպեսզի բացառումը աշխատի։ Charon-ին այն պետք է IKE սոքեթի վրա, իսկ զավակ կապի մուտքային և ելքային նշանի կարգավորումներին պետք է նույն արժեքը, որպեսզի ներկապված փաթեթները նույնպես նշված դուրս գան։ 0xffffffff-ի փոխարեն 0x1 դիմակը մնացած բիթերը ազատ է թողնում, ինչը կարևոր է, երբ մեկ այլ ենթահամակարգ արդեն նշում է փաթեթները նույն հոսթում։ Երբ երկուսն էլ սահմանված են, կանոնը գրվում է որպես բացառում, այնպես որ նշված փաթեթները շրջանցում են XFRM երթուղին պարունակող աղյուսակը և ընկնում հիմնական աղյուսակ:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Ապա կարդացեք պատասխանը կիրառված նշանով։ Առանց դրա դուք ուսումնասիրում եք պաշտպանված երթևեկության ուղին, ինչը այս բաժնի հարցի հակառակն է։

Ինչ է ենթադրում ավտոմատ տեղադրումը կառուցման մասին

XFRM ինտերֆեյսի ավտոմատ երթուղու տեղադրում կախված է strongSwan-ի տարբերակից և դրա կազմաձևից։ Ինտերֆեյսի ID-ն, տեղադրված քաղաքականությունը և ասոցիացիան բոլորը պետք է հղվեն նախատեսված օբյեկտներին։ Անհամապատասխանությունը ի հայտ է գալիս որպես երթուղի, որը հանգիստ մատնանշում է ինչ-որ իրական տեղ։

Աղյուսակի համարը կամ նշանի դիմակը մեկ այլ դարպասից պատճենելը բախումների սկիզբն է։ Նախ ստուգեք, թե ինչն է արդեն օգտագործում այն։ Բախումն ազդում է փոխելիք թունելից շատ ավելի հեռու երթևեկության վրա, և ախտանիշը հազվադեպ է մատնանշում պատճենը։

Գործընկերոջ հասցեի փոփոխությունները դիզայնի մաս են։ Երեկվա հասցեի համար հոսթ-երթուղին վերջնակետի վերականգնման ծրագիր չէ, մինչդեռ նշանը դիմանում է այդ փոփոխությանը։

Հետևեք առաջին թարմացմանը

Ստուգեք արտաքին ուղին պաշտպանված երթուղիների տեղադրումից հետո, ոչ թե առաջ։ Ապա հետևեք հաջորդ թարմացմանը և մեկ հավելվածային փոխանակման։ Ձախողումը սովորաբար ի հայտ է գալիս այդ անցումում, ոչ թե մեկնարկին։

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Պաշտպանված լռելյայն երթուղին ժամանակավորապես հեռացնելը սովորաբար վերականգնում է կապը։ Այդ արդյունքը ախտորոշիչ է, ոչ վերջնական։

Նպատակը ներքին երթևեկության և այն կրող արտաքին փաթեթների միջև կայուն բաժանումն է։ Գրեք ընտրված մեխանիզմը և դրա աղյուսակը կամ նշանը դարպասի նշումներում։ Հակառակ դեպքում կանոններին դիպչող հաջորդ մարդը նորից կմտցնի օղակը։