strongSwan til AWS Site-to-Site: hvers vegna Child SA velur ekkert

IKE-göng geta verið uppi á meðan barnasamtengið útilokar undirnetin þín. Berðu fyrst saman staðbundið og fjarlægt CIDR AWS við leftsubnet og rightsubnet.

Stjórnborðið sýnir up, strongSwan tilkynnir komið IKE-samtengi og pakkarnir berast samt ekki. Það næsta sem á að bera saman er ekki fyrirfram deildi lykillinn heldur par forliða sem hvor hlið telur göngin verja. Farðu í gegnum prófanirnar hér að neðan í röð, því fyrstu tvær ráða hvort göngin geti yfirhöfuð borið umferðina þína.

Þýddu nöfn AWS yfir í hugtök strongSwan

AWS lýsir tengingunni frá hlið viðskiptavinar: heimilisfang viðskiptavinarhliðsins og staðbundið CIDR eru þín, og fjarlæga CIDR tilheyrir VPC. strongSwan kallar endana left og right, með forliðinn þinn í leftsubnet og forlið VPC í rightsubnet. Ef einu pari er snúið við verða göng sem semja um og velja ranga umferð.

Sæktu stillingarnar sem AWS býr til fyrir tenginguna og líttu á þær sem viðmið fyrir þá tilteknu tengingu, þar á meðal heimilisföng og forliði ganganna. Ef báðir CIDR-reitir eru látnir tómir við stofnun notar þjónustan sjálfgefið 0.0.0.0/0 á hvorri hlið. Beinir sem stilltur er með þröngum forlið mun þá aldrei passa, svo annaðhvort fylltu reitina eða víkka valið viljandi.

Ósamræmi hér lítur út eins og bilun í leiðsögn og er það ekki.

Festu heimilisfangið sem AWS sér í raun

Beinir bak við NAT getur sent IKE frá tengi sem hin hliðin kannaðist aldrei við. Hliðsheimilisfangið sem skráð er í AWS verður að vera það sem AWS sér á netinu, og beininum verður að festa við sama staðbundna heimilisfang í stað þess að fylgja sjálfgefinni leið sinni.

conn %default
    local_addrs = 203.0.113.10

Í strongSwan velur local_addrs upprunheimilisfangið fyrir IKE, og eldri OpenSwan-stillingar skrifa sömu hugmynd sem left. Beindu því að tenginu sem ber opinbera heimilisfangið, staðfestu síðan á NAT-tækinu sjálfu að UDP 500 og 4500 nái þeim vélum, því regla sem eftir stendur frá fyrri beini hendir þeim hljóðlaust. Rétt valpar virkar samt ekki með röngu upprunheimilisfangi, og annállinn kenndur um tillögunni. Þessi villuleiðsla er ástæðan fyrir því að upprunheimilisfangið á skilið eigin prófun.

Staðfestu framsendingarregluna í stað þess að gera ráð fyrir henni, því regla sem var rétt fyrir fyrri beininn stendur oft eftir.

Meðhöndlaðu 1. áfanga og 2. áfanga aðskilið

AWS sýnir IKE- og ESP-valkosti sem aðskilda lista. IKE-samstæða sem báðar hliðir samþykkja segir ekkert um ESP-tillöguna, því listarnir tveir eru óháðir. Lestu báða úr mynduðu stillingunni og berðu þá saman einn í einu.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Setningafræði flyst ekki milli útfærslna. Par sem virkar í OpenSwan, til dæmis phase2alg=aes_gcm með ike=aes256-sha1;modp1024, þarf að þýða yfir í esp= og ike= form strongSwan, og heiti reikniritanna eru mismunandi. Þar sem GCM sannreynir á meðan það dulkóðar þarf það enga sérstaka heilleikabreytingu, ólíkt CBC-samstæðu sem pöruð er við SHA. Lína í 2. áfanga sem límd er úr einum daemon í annan án þýðingar gefur frávísun sem hljómar eins og ósamræmi í vali.

Athugaðu barnasamtengið, ekki vísinn á göngunum

Ef tengingin hleðst en ekkert barnasamtengi verður til, var annaðhvort tillögunni eða völunum hafnað. Ef barn verður til og val þess útiloka forliðina þína eru pakkarnir síaðir áður en þeir ná göngunum. Vísir stjórnborðsins nær aðeins yfir IKE-stigið, svo hann getur ekki sagt þér hvorra tveggja varð.

ipsec statusall

Finndu öryggissamtengi barnsins og lestu umferðarvalið sem prentað er við hliðina, berðu það síðan saman við forliðina úr mynduðu stillingunni.

Prófaðu frá vél innan staðbundna forliðarins til vélar innan forliðar VPC, og athugaðu afturleiðina auk öryggishóps eða net-ACL á AWS-hliðinni. Rétt val verndar ekki pakka frá því að vera hent síðar.

Þegar það mistekst enn eftir að valið passar

Staðfestu að leiðin á báðum hliðum bendi að göngunum, staðfestu síðan að NAT-tækið endurskrifi umferð ekki á þann hátt sem stefnan á von á. Stefnumiðuð göng passa heimilisföng pakka, svo þýðing sem beitt er eftir stefnuákvörðunina breytir niðurstöðunni.

Skráðu einn pakka inn og einn út á hvorri hlið áður en þú breytir annarri tillögu.

Skráðu valið, tillögur 1. og 2. áfanga og upprunheimilisfangið í miðann. Þessi fjögur gildi útskýra flest site-to-site-mistök án símtals.

Tengdir greinar