trap-stilling strongSwan: hvers vegna IPsec-göngin bíða eftir umferð

Ekkert CHILD SA birtist í stöðuúttakinu, göngin virðast dauð, og þá lyftir ping á fjarlæga undirnetinu þeim. Í IPsec-uppsetningu eftir beiðni er þessi röð hönnunin, ekki bilun. Trap-stefna setur upp valara og bíður, og fyrsti pakkinn sem passar við hana er það sem ræsir IKE og CHILD SA-samningaviðræðurnar.

Hluti ruglingsins er orðaforði: „up“ er notað um tvö ólík ástand. Stillingin er hlaðin og kjarnastefnan er til, en gagnasamtengingin ekki. Vöktun sem telur aðeins virk SA mun tilkynna heilbrigðan stað sem niðri svo lengi sem enginn sendir umferð þangað.

Óvirkt göng eftir beiðni hafa ekkert CHILD SA til að sýna

trap-færsla auðkennir ekkert sjálf. Hún biður kjarnann að halda stefnu fyrir valda umferð og að reisa acquisition þegar pakki þarf þá stefnu. Deemoninn tekur við acquisition, passar henni við child-skýringuna og semur þaðan. Þangað til er ekkert IKE SA til að sýna heldur, og þess vegna geta báðir listarnir verið tómir samtímis.

Þessi röð gerir loggurnar læsilegar. Fyrst kemur acquisition, svo IKE_SA_INIT og IKE_AUTH, svo CHILD SA. Ef loggin enda strax eftir acquisition virkaði kveikjan. Samningaviðræðurnar mistókust, og næsta spurning snýst um skilríki, tillögur eða aðgengi, ekki trap.

Með Linux-kjarnabakenda geturðu séð stefnuna áður en nokkurt SA er til. Keyrðu ip xfrm policy og leitaðu að valaranum með stefnu out og sniðmáti sem vísar á tenginguna. Þessi færsla er ástandið eftir beiðni, og tilvist hennar er það fyrsta sem þarf að staðfesta.

start_action ræður því hvort nokkuð bíður yfirhöfuð

Hvert child í swanctl.conf ber start_action. start byrjar þegar stillingin er hlaðin, trap setur upp stefnuna og bíður, og none lætur ræsinguna eftir öðru. Aðeins trap framkallar hegðunina „ping og það fer upp“ sem lýst er hér að ofan.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Tveir umferðarvalarar skilgreina hvað telst áhugavert, og pakki frá hýsli utan þessara forskeyta kveikir ekki á trapinu; hann er beitt venjulega. Að víkka valarana til að gera kveikjuna ákafari víkkar líka umfangið sem göngin segjast vernda, svo leiddu þá af umferð sem þú ætlar raunverulega að dulkóða.

Hér swanctl.conf-tilvísunin telur upp samþykkt gildi, ásamt aðskildum close- og DPD-aðgerðum sem stýra því hvað gerist þegar SA er til.

Finndu út hvort kveikjan varð virk yfirhöfuð

Byrjaðu á swanctl --list-conns og staðfestu að child sé hlaðið með aðgerðinni sem þú ætlaðir. Sendu svo einn pakka frá hýsli innan local_ts á vistfang innan remote_ts og fylgstu með swanctl --list-sas. Ef úttakið breytist ekki náði engin acquisition til deemonins.

Tvær algengar ástæður fyrir hljóðlausu trapi: pakkinn var source-NAT-aður áður en hann náði stefnunni og passar ekki lengur við local_ts, eða tengingin hlaðist aldrei vegna setningafræði- eða skilríkjavillu. Keyrðu swanctl --load-all aftur og lestu úttakið áður en þú snertir valarana. Tenging sem hlaðist ekki setur enga stefnu upp, svo það er ekkert fyrir umferðina að kveikja á.

Stefnan skiptir líka máli: trap sem sett er upp fyrir útleiðandi umferð byrjar ekki á innleiðandi pakka. Ef fjarlæga hliðin á að lyfta göngunum þarf hún sitt eigið trap, eða þessi hlið þarf start.

Að bíða eftir fyrsta pakka er ekki alltaf rétta skiptin

Gagnvirk lotur finna fyrir uppsetningarkostnaðinum. Fyrsta beiðnin borgar fyrir IKE-skiptin og CHILD-samningaviðræðurnar, og biðlari með stuttan frest getur gefist upp áður en SA er til. start framsækið fjarlægir þá töf fyrsta pakkans. En það heldur göngunum uppi fyrir umferð sem kemur kannski aldrei.

Þrjár staðreyndir ráða valinu: hversu oft leiðin er notuð, hvort fyrsta beiðnin hefur þröngan frest og hvort hægt er að ná í jafningjann við ræsingu. Stöku lotu-umferð og jafningi sem gæti verið ótengdur við ræsingu halla bæði að trap. Biðlari sem er viðkvæmur fyrir töf og jafningi sem alltaf er aðgengilegur halla að start. Ef báðar hliðar geta hafið skuluð þið semja um hver á kveikjuna svo þið fáið ekki tvöfaldar samningaviðræður.

Uppsett stefna er heldur ekki lekapétt ábyrgð. Ef krafan er fail-closed verður eldveggurinn að fleygja umferð án SA, og sú regla lifir utan child-skýringarinnar.

Skrifaðu niður línurnar þrjár sem enda næstu rökræður

Skrifaðu niður valarana, ræsingaraðgerðina og skipanarúttakið sem sýnir stefnuna til staðar án SA. Þessar þrjár línur aðgreina „eftir beiðni og óvirkt“ frá „hleðst ekki“ næst þegar einhver tilkynnir göngin sem niðri. Það tekur eina mínútu að fanga þær. Án þeirra byrjar sama rannsókn frá núlli.

Prófaðu frá hýsli sem er raunverulega innan valarans. Ping frá beini sjálfum fer oft aðra leið og sannar ekkert um stefnuna sem verndar undirnetið bak við hann.