IPsec-umferðarvalar: hvað þeir ná yfir og hvað ekki

Umferðarvalar nefna þá innri umferð sem IPsec-samkomulag verndar, og parið er samið um en ekki gert ráð fyrir. Tveir endapunktar geta sannreynt hvor annan fullkomlega og samt verið ósammála um hvaða pakkar tilheyra inni í göngunum. Þessi ósætti er ósýnileg í stöðu tengingarinnar, sem venjulega tilkynnir heilbrigð göng. Að lesa valana frá báðum endum og elta síðan einn áfangastað finnur það hraðar en hvaða stefnubreiting sem er.

Lestu þá frá báðum endum

Hver endapunktur lýsir sínum eigin hlið sem staðbundinni og hinni hliðinni sem fjarlægri. Sama forskeyti parið birtist því víxlað í þeim tveimur uppsetningum, og það er rétt en ekki mótsagnakennt. Að snúa sjónarhorninu við er það fyrsta sem gera þarf þegar virkt samkomulag virðist rangt á pappír. Að bera tvær skrár saman hlið við hlið án þess að víxla þeim skapar ósamræmi sem er ekki til.

Gildin eru ekki alltaf stök undirnet. IKEv2-valar geta borið netfangabil, samskiptareglunúmer og portbil, og þannig verndar stefnuskilyrði eina þjónustu í stað heils nets. Vali sem er þrengri en fyrirhuguð umferð skapar göng sem bera sum áfangastöð og útiloka önnur í hljóði.

Skrifaðu báðar hliðar í eina töflu áður en þú breytir nokkru. Æfingin leysir venjulega spurninguna án þess að snerta stillingarskrá.

Þrengingin er ákvörðun svarenda

Frumkvöðull leggur til, og svarendinn má aðeins samþykkja undirmengi. IKEv2 leyfir svarendnum að þrengja boðnu umferðarvalana, og þrengda niðurstaðan er það sem raunverulega er sett upp. Að lesa uppsetningu frumkvöðulsins lýsir því boði, ekki samkomulaginu.

Þess vegna getur undirnet sem bætt er við biðlarann skapað virk göng sem hafna samt nýja áfangastaðnum. Þjónninn þrengdi boðið að því sem stefna hans leyfir, á meðan skrá biðlarans listar enn breiðara bilið. Aðeins samið ástand sýnir sannleikann: á Linux tilkynna ip xfrm policy og child SA listinn í IKEv2-skjölum strongSwan hvað var sett upp en ekki hvað var beðið um. Þegar þau tvö greinir á, er stefna svarendans sú sem breyta þarf.

Hafnað boð er annað einkenni en þrengt. Höfnun birtist í samningaskránni og skilur enga child-tengingu eftir.

Elta einn áfangastað frá upphafi til enda

Veldu raunverulegan áfangastað auk upprunafangsins sem biðlarinn myndi nota fyrir hann, og eltu síðan þetta par í gegnum þrjár sjálfstæðar ákvarðanir. Leiðin velur slóð, valinn ákveður hvort sú slóð er vernduð, og eldveggurinn ákveður hvort pakkinn er leyfður. Hvert þeirra getur mistekist sjálft, og breiður vali lagar ekkert hinna.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Leiðarfyrirspurnin nefnir viðmótið og upprunafangið sem myndu bera pakkann. Stefnumálslistinn sýnir hvort samsvarandi göngustefna er til fyrir þetta par, þar á meðal stefnu hennar og stig. SA-listinn sýnir samið child-vala ásamt teljurum, svo child-tenging með núll pökkum eftir að umferð var reynd er einkennismerki vala sem útiloka það sem er sent. Þrjár skipanir, þrjú mismunandi svör, og aðeins eitt þeirra útskýrir hljóðlaust fall.

Ef child-teljararnir hreyfast á meðan forritið mistekst enn, er vandamálið handan ganganna. Það færir rannsóknina að hlustandanum eða eldvegg fjarlæga hýsisins en ekki að valunum.

Haltu markmiðunum tveimur aðskildum

Að vernda skrifstofuundirnet og senda alla vafrun gegnum fjarlæga útgöngu eru mismunandi kröfur með mismunandi valum. Prófíll byggður fyrir annað hentar hinu sjaldan, og að blanda þeim gefur annað hvort leka eða brotna skiptingu. Að víkka verndaða bilið þýðir að breyta báðum endapunktum og framsendingarstefnu þeirra, því einhliða breyting verður hafnað boð. Þetta er algengasta leiðin sem virk göng hætta að virka eftir litla breytingu.

Valar lýsa dulritunarþekju, leiðir velja slóðir, og forrit framfylgja eigin heimildum. Göng sem ná yfir allt geta samt ekki náð þjónustu sem er bundin við loopback, og leið inn í göngin þarf samt vala sem felur í sér áfangastaðinn. Athugaðu alla þrjá gegn sömu prófunarbeiðninni, og ósamræmið nefnir sig sjálft.