IPsec-stefna gleypir staðbundna umferðina þína: hvernig á að þekkja það

Prentarinn á skrifborðinu hættir að svara um leið og tunnillinn kemur upp, og ekkert í stillingum tunnelsins nefnir prentarann. Venjulega hefur það gerst að verndað svið var skrifað nógu breitt til að ná yfir hann, svo vélin reynir nú að dulkóða umferð sem átti að vera á staðbundnu sniðinu. Að lesa uppsettu stefnuna útskýrir grípunina; að þrengja hana á réttum stað heldur fjartengdri umferð verndaðri. Ferðin frá misheppnaðri beiðni að samsvarandi stefnu tekur nokkrar mínútur.

Fylgdu ferlinu áður en þú breytir vali

Byrjaðu á misheppnuðu beiðninni og skrifaðu niður fjögur gildi: upprunafangið sem vélin notar, nákvæma áfangastaðinn, leiðina sem kjarninn velur og stefnuna sem passar við þetta par.

Þessar fjórar staðreyndir ráða því hvort grípunin er viljandi eða tilviljun. Áfangastaður sem fellur innan fjarvalsins er verndaður að hönnun, jafnvel þótt hönnunin hafi verið röng. Áfangastaður utan hans sem samt er gripinn þýðir að eitthvað annað passar, og að breyta valinu hjálpar ekki. Bæði tilvikin eru algeng, og ein skipun greinir þau.

Gerðu þetta áður en þú breytir nokkru, því áhugavert tilvik er staðbundið undirnet sem skarast við einkasvið sem tengingin verndar. Kunnug leg forbeytingar eins og 192.168.0.0/16 koma fyrir í mörgum netum, og val skrifað fyrir eitt þeirra getur hljóðlega náð yfir þitt.

Þrjár tegundir staðbundins sem hegða sér ólíkt

Áfangastaður sem er úthlutaður þessum hýsli, áfangastaður á sama tengli og áfangastaður bak við annað viðmót eru þrjú ólík tilvik. Kjarninn meðhöndlar hvert þeirra öðruvísi þegar hann ákveður hvort umferðin þurfi vernd.

Umferð sem gáttin sjálf myndar er heldur ekki það sama og umferð sem er framsend frá biðlara. Stefna sem lítur rétt út fyrir framsenda umferð geta gripið eigin stjórnunarlotu gáttarinnar, og þannig missir stjórnandi aðganginn meðan hann gerir við tunnilinn.

Gagnleg venja er að nefna tilvikið upphátt: kemur þessi pakki frá mér, fer á tengilinn minn eða fer í gegnum mig? Sérhvert svar bendir á annan stað til að þrengja. Að skrifa tilvikið niður kemur líka í veg fyrir að næsta manneskja endurtaki sama verk.

Þegar verndaða sviðið er allt einkarými geta öll þrjú tilvikin fallið inn í það á sama tíma, og einkennin verða vél sem nær engu nema endapunkti tunnelsins.

Lestu uppsettu stefnuna, ekki skrána

Stillingarskrár lýsa áforminu; kjarninn heldur stefnunum sem raunverulega passa. Sýndu bæði og meðhöndlaðu misræmi sem fyrstu niðurstöðu.

Þessar skipanir sýna valda leið að áfangastaðnum og uppsettu stefnurnar í hvora átt:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Leiðin segir þér hvaða viðmót pakkinn myndi nota. Stefnulistinn segir þér hvort sniðmáti verði síðan beitt á þennan pakka, og tengingalistinn sýnir hvaða vala dímoninn telur sig hafa sett upp. Ef áfangastaðurinn kemur fyrir í fjarvali hefurðu fundið grípunina án þess að giska.

Þrengdu valið eða farðu fram hjá áfangastaðnum

Það eru tvær studdar lagfæringar og þær svara ólíkum spurningum. Að þrengja valið segir að þessi tenging verndi aðeins minna svið, sem er rétt þegar breiðara sviðið var mistök. Að bæta við framhjáhlaupi segir að þessi tiltekni áfangastaður megi aldrei vera verndaður, sem er rétt þegar verndaða sviðið er virkilega breitt og einn áfangastaður er undantekning.

Veldu þá fyrstu þegar þú getur, því minna val er auðveldara að hugsa um og sést í skilgreiningu tengingarinnar. Veldu þá seinni þegar breiða sviðið er viljandi og undantekningin er einn hýsill eða undirnet sem þú getur nefnt.

Bæði tilheyra stillingunni sem á tenginguna. Regla á keyrslutíma sem bætt er við handvirkt hverfur við næstu endurtengingu, og bilunin kemur aftur á þeirri stundu þegar enginn man lengur eftir hjáleiðinni.

Undantekningar sem standa af sér enduruppsetningu

Eftir breytinguna endurtaktu sömu skaðlausu beiðnina og skoðaðu sömu teljarana. Staðbundni áfangastaðurinn ætti að svara, og fyrirhugaði fjartengdi áfangastaðurinn ætti enn að sýna dulkóðaða umferð.

Þessar tvær athuganir staðfesta að undantekningin lifði af en verndin ekki:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Aftengdu svo tunnilinn viljandi og tengdu aftur, og endurtaktu bæði. Undantekning sem virkar fyrir endurtengingu og bregst eftir hana var beitt á ranga laginu, og það er algengasta leiðin sem þetta vandamál kemur aftur.