Pemilih lalu lintas IPsec: apa yang mereka cakup dan apa yang tidak

Pemilih lalu lintas menamai lalu lintas dalam yang dilindungi perjanjian IPsec, dan pasangan itu dinegosiasikan, bukan diasumsikan. Dua ujung dapat saling mengautentikasi dengan sempurna dan tetap tidak sepakat tentang paket mana yang termasuk di dalam terowongan. Ketidaksepakatan itu tidak terlihat pada status koneksi, yang biasanya melaporkan terowongan sehat. Membaca pemilih dari kedua ujung lalu mengejar satu tujuan menemukannya lebih cepat daripada penyuntingan kebijakan sebanyak apa pun.

Bacalah dari kedua ujung

Setiap ujung menggambarkan sisinya sendiri sebagai lokal dan sisi lain sebagai jarak jauh. Pasangan prefiks yang sama karena itu tampak tertukar pada kedua konfigurasi, dan itu benar, bukan bertentangan. Membalik perspektif adalah hal pertama yang harus dilakukan ketika perjanjian yang berfungsi tampak salah di atas kertas. Membandingkan dua berkas berdampingan tanpa menukarnya menghasilkan ketidakcocokan yang tidak ada.

Nilainya tidak selalu subnet tunggal. Pemilih IKEv2 dapat membawa rentang alamat, nomor protokol, dan rentang porta, dan begitulah kebijakan melindungi satu layanan alih-alih seluruh jaringan. Pemilih yang lebih sempit daripada lalu lintas yang dimaksud menghasilkan terowongan yang membawa sebagian tujuan dan diam-diam mengecualikan yang lain.

Tuliskan kedua sisi ke dalam satu tabel sebelum mengubah apa pun. Latihan itu biasanya menyelesaikan pertanyaan tanpa menyentuh berkas konfigurasi.

Penyempitan adalah keputusan responder

Inisiator mengusulkan, dan responder hanya boleh menerima sebagian. IKEv2 mengizinkan responder menyempitkan pemilih lalu lintas yang ditawarkan, dan hasil yang menyempit itulah yang benar-benar dipasang. Membaca konfigurasi inisiator karena itu menggambarkan tawaran, bukan perjanjian.

Itulah sebabnya subnet yang ditambahkan ke klien dapat menghasilkan terowongan yang berfungsi namun tetap menolak tujuan baru. Server menyempitkan tawaran kembali ke apa yang diizinkan kebijakannya, sementara berkas klien masih mencantumkan rentang yang lebih luas. Hanya keadaan yang dinegosiasikan yang menunjukkan kebenaran: di Linux, ip xfrm policy dan daftar child SA di dokumentasi IKEv2 strongSwan melaporkan apa yang dipasang, bukan apa yang diminta. Ketika keduanya berselisih, kebijakan responder itulah yang harus diubah.

Tawaran yang ditolak adalah gejala yang berbeda dari yang menyempit. Penolakan muncul di log negosiasi dan tidak meninggalkan asosiasi child sama sekali.

Kejar satu tujuan dari ujung ke ujung

Pilih tujuan nyata beserta alamat sumber yang akan dipakai klien untuknya, lalu ikuti pasangan itu melalui tiga keputusan independen. Rute memilih jalur, pemilih memutuskan apakah jalur itu dilindungi, dan firewall memutuskan apakah paket diizinkan. Masing-masing dapat gagal sendiri, dan pemilih yang lebar tidak memperbaiki satu pun dari yang lain.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Kueri rute menyebut antarmuka dan alamat sumber yang akan membawa paket. Daftar kebijakan menunjukkan apakah ada kebijakan terowongan yang cocok untuk pasangan itu, termasuk arah dan levelnya. Daftar SA menunjukkan pemilih child yang dinegosiasikan beserta penghitung, jadi asosiasi child tanpa paket setelah lalu lintas dicoba adalah tanda tangan pemilih yang mengecualikan apa yang dikirim. Tiga perintah, tiga jawaban berbeda, dan hanya satu yang menjelaskan penurunan diam-diam.

Jika penghitung child bergerak sementara aplikasi masih gagal, masalahnya ada di luar terowongan. Itu memindahkan penyelidikan ke pendengar atau firewall host jauh, bukan ke pemilih.

Pisahkan kedua tujuan

Melindungi subnet kantor dan mengirim semua penjelajahan melalui pintu keluar jauh adalah kebutuhan berbeda dengan pemilih berbeda. Profil yang dibuat untuk salah satunya jarang cocok untuk yang lain, dan mencampurnya menghasilkan kebocoran atau pemisahan yang rusak. Memperluas rentang yang dilindungi berarti mengubah kedua ujung dan kebijakan penerusannya, karena perubahan sepihak menjadi tawaran yang ditolak. Itulah cara paling umum sebuah terowongan yang berfungsi berhenti bekerja setelah suntingan kecil.

Pemilih menggambarkan cakupan kriptografis, rute memilih jalur, dan aplikasi menegakkan izinnya sendiri. Terowongan yang mencakup semuanya tetap tidak dapat menjangkau layanan yang terikat ke loopback, dan rute ke dalam terowongan tetap membutuhkan pemilih yang menyertakan tujuan. Periksa ketiganya terhadap permintaan uji yang sama, dan ketidakcocokan akan menamai dirinya sendiri.