IPsec dengan banyak subnet kehilangan trafik balik? Hitung reqid

Trafik meninggalkan satu lokasi dan tidak pernah kembali, kedua gateway melaporkan negosiasi selesai, dan satu-satunya petunjuk adalah tumpukan paket keluar tanpa balasan. Pada endpoint Linux, penyebab biasanya bukan kekuatan enkripsi, MTU, atau tabel perutean. Ini adalah granularitas entri kebijakan dan nomor yang menghubungkan setiap kebijakan ke asosiasi keamanan. Prosedur di bawah membaca kedua basis data itu sebelum menyentuh hal lain.

Pisahkan gejalanya sebelum mengubah apa pun

Kegagalan satu arah dengan negosiasi IKE yang selesai mempersempit masalah ke jalur data. Entah kebijakan keluar cocok dan balasan dibuang, atau balasan tidak pernah tiba karena sisi jauh tidak punya sarana untuk mengirimnya. Dari aplikasi keduanya tampak sama, dan basis data xfrm membedakannya.

Jangan mulai dari MTU. MTU yang salah menghasilkan kemacetan dan gejala fragmentasi, bukan pemisahan arah yang bersih dengan penghitung keluar yang naik.

Baca basis data kebijakan dan basis data status

Di Linux enkripsi ditentukan oleh entri kebijakan, jadi kebijakan yang cocok, bukan rute, yang memasukkan paket ke tunnel. Jalankan ip xfrm policy untuk melihat selektor, arah, prioritas, dan templat setiap entri, dan ip xfrm state untuk melihat asosiasi yang terbentuk beserta reqid-nya. Kebijakan dan asosiasi dihubungkan oleh reqid itu.

Lihat ketiga arah. Keluar dan masuk mencakup trafik ke dan dari host ini; arah teruskan penting ketika host merutekan untuk pihak lain. Entri yang hilang atau tidak cocok di satu arah menjelaskan hasil satu arah tanpa kesalahan kriptografis.

Asimetri klasik: satu reqid untuk beberapa subnet

Kegagalan umum berasal dari peer yang memasang kebijakan untuk semua subnet yang dinegosiasikan di bawah satu reqid, yang terjadi dengan generate_policy require milik racoon. Trafik lalu keluar melalui asosiasi yang dibentuk terakhir, sementara sisi jauh menyimpan asosiasi terpisah per subnet. Balasan tiba pada asosiasi yang reqid-nya tidak menunjuk kebijakan yang seharusnya menerimanya, dan kernel membuangnya setelah dekripsi.

Perbaikannya adalah perubahan konfigurasi, bukan aturan firewall: generate_policy unique; memberi setiap kebijakan reqid sendiri, sehingga asosiasi per kebijakan milik peer punya pasangan yang cocok. Terapkan, negosiasikan ulang, dan hitung reqid yang berbeda untuk subnet yang diharapkan sebelum menyatakan berhasil.

Jika dua subnet masih berbagi satu reqid sementara sisi jauh mengharapkan dua, Anda menemukan asimetrinya. Catat pemetaannya, karena itu bukti bahwa perubahan berikutnya memperbaikinya atau mempertahankannya.

Selektor berasal dari negosiasi, bukan dari konfigurasi Anda

Rentang yang dilindungi adalah apa yang disepakati kedua ujung, bukan apa yang diminta salah satu pihak. Klien yang menawarkan pasangan host terhadap rentang jauh yang luas menerima versi sempit dari gateway, dan klien tidak dapat memperluasnya. Baca selektor yang terpasang, bukan yang ada di berkas lokal Anda.

Ketika tujuannya sebaliknya, menjaga satu tujuan di luar tunnel, tambahkan kebijakan pintas dengan nomor prioritas lebih rendah agar menang atas entri yang dipasang otomatis. Kebijakan tanpa templat mengizinkan teks polos, yang menjadikannya pengecualian yang disengaja untuk catatan perubahan, bukan langkah penelusuran kesalahan.

Verifikasi dengan urutan ini, dan ketahui cara membatalkannya

Daftar kebijakan untuk setiap subnet di kedua arah, termasuk teruskan jika host merutekan. Hitung reqid yang berbeda dan pastikan satu per kebijakan di sisi yang mengharapkannya. Bandingkan selektor terpasang dengan yang dinegosiasikan. Baca ulang penghitung per asosiasi setelah pembaruan kunci, karena asosiasi yang Anda periksa mungkin sudah hilang. Periksa rute terakhir, karena rute yang hilang ke subnet jauh menghasilkan gejala satu arah serupa dengan penghitung kebijakan yang bersih.

Sebelum mengubah peer, simpan keluaran kedua perintah xfrm saat ini. Jika pengaturan baru tidak memulihkan arah balik, memulihkan keluaran itu adalah pembatalan yang lebih cepat daripada membangun ulang tunnel dari ingatan, dan itu menjaga perbandingan tetap jujur.