Sjálfgefin XFRM-leið gleypti IKE og ESP: haltu ytri slóðinni

Umsráðurinn er varinn, tunnillinn er í gangi, og svo deyr hann við næstu lyklauppfærslu. Sjálfgefin leið í gegnum XFRM-viðmótið lýsti umferðinni sem þú vildir vernda. Hún gleypti líka pakkana sem þarf til að halda verndinni áfram.

Áfangastaðirnir tveir sem koma við sögu eru ekki skiptanlegir. Leiðsögnin verður að segja það skýrt.

Hvert leitin að jafningjanum fer í raun

Skráðu virku reglurnar, töfluna sem heldur XFRM-leiðinni og opinbert netfang jafningsins. Horfðu svo á slóðina sem ytri tengingin myndi fara með raunverulegri uppsprettu og merki. Almennt áfangastaðir segja þér ekkert um þá stjórnslóð. Aðeins raunveruleg uppspretta og merki gefa gagnlegt svar.

Árangursrík upphafstenging sannar líka lítið. Bilunin kemur oft í ljós eftir að leiðaruppsetning breytir svarinu. Ræsingin tekst, svo tekst fyrsta uppfærslan ekki.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ef leitin að jafningjanum endar í XFRM-viðmótinu eru ytri pakkarnir leiddir inn í tunnilinn sem þeir byggja sjálfir. Það er lykkjan, sýnileg með einni skipun.

Útilokunarvalkostir á nútíma gátt

Skjöl strongSwan um VPN sem byggir á leiðsögn setja fram tvö hagnýt svör. Eitt merkir IKE og ESP svo reglan að XFRM-töflunni eigi ekki við þau. Hitt skilur eftir jafningjaleið eða útilokun sem leitin nær enn.

Takðu þá sem reglusettið þitt getur lýst án aukaverkana. Merki er hreint þegar afgangur staflans notar þegar merki. Það er hætta þegar sama gríman þýðir eitthvað annað í annarri reglu. Báðar pakkategundir þurfa meðferðina hvort sem er.

Að merkja aðeins IKE skilur gagnapakkana eftir á gripnu slóðinni. Það framleiðir tunnil sem gerir handaband og flytur svo ekkert.

Merkið er einn biti í fwmark pakkans sem ekkert annað á gáttinni gerir tilkall til: 0x1 með grímu 0x1 er venjulegi kosturinn, og það verður að setja á tvo staði svo útilokunin virki. Charon þarf það á IKE-sokkinum, og stillingar fyrir innkomandi og útfarandi merki barnatengingarinnar þurfa sama gildi svo innpakkaðir pakkar fari líka merktir út. Gríma 0x1 í stað 0xffffffff lætur bitana sem eftir eru lausa, sem skiptir máli þegar annað undirkerfi merkir þegar pakka á sama hýslinum. Þegar bæði eru sett er reglan skrifuð sem útilokun, svo merktir pakkar sleppa töflunni sem heldur XFRM-leiðinni og falla í aðaltöfluna:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Lestu svo svarið með merkinu beittu. Án þess skoðar þú slóðina sem varinn umferð fer, sem er andstæða spurningar þessa kafla.

Hvað sjálfvirk uppsetning gerir ráð fyrir um bygginguna

Sjálfvirk leiðaruppsetning fyrir XFRM-viðmót fer eftir útgáfu strongSwan og stillingum hennar. Viðmóts-ID, uppsetta stefnan og samtengingin verða öll að vísa í fyrirhuguðu hlutina. Misræmi birtist sem leið sem vísar hljóðlega á einhvern raunverulegan stað.

Að afrita töflunúmer eða merkjagrímu frá annarri gátt er hvernig árekstrar byrja. Athugaðu fyrst hvað notar hana þegar. Árekstur hefur áhrif á umferð langt út fyrir tunnilinn sem þú ætlaðir að breyta, og einkennin benda sjaldan á afritið.

Breytingar á netfangi jafningsins heyra til hönnunarinnar. Hýsil-leið fyrir netfang gærdagsins er ekki endurheimtaráætlun endapunkts, en merki lifir þá breytingu af.

Fylgstu með fyrstu uppfærslunni

Athugaðu ytri slóðina eftir að varðar leiðir eru settar upp, ekki fyrir. Fylgstu svo með næstu uppfærslu og einni forritaskiptingu. Bilunin birtist venjulega við þá umskipti en ekki við ræsingu.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Að fjarlægja varða sjálfgefnu leiðina tímabundið endurheimtir venjulega tengingu. Sú niðurstaða er greining, ekki endanleg.

Markmiðið er stöðug skipting milli innri umferðar og ytri pakkanna sem flytja hana. Skrifaðu valda aðferðina og töfluna eða merkið hennar í minnispunkta gáttarinnar. Annars mun næsta manneskja sem snertir reglurnar koma lykkjunni aftur inn.