IPsec პოლიტიკა თქვენს ლოკალურ ტრაფიკს ყლაპავს: როგორ ამოვიცნოთ

მაგიდაზე მდგარი პრინტერი პასუხის გაცემას წყვეტს იმ წუთას, როცა გვირაბი ამოდის, და გვირაბის კონფიგურაციაში პრინტერი არსად არის ნახსენები. ჩვეულებრივ ის მოხდა, რომ დაცული დიაპაზონი იმდენად ფართოდ დაიწერა, რომ მასაც მოიცავს, ამიტომ მანქანა ახლა ლოკალურ სეგმენტზე დარჩენილი ტრაფიკის დაშიფვრას ცდილობს. დაყენებული პოლიტიკის წაკითხვა დაჭერას ხსნის; მისი სწორ ადგილას შევიწროვება დისტანციურ ტრაფიკს დაცულად ინახავს. გზა წარუმატებელი მოთხოვნიდან შესაბამის პოლიტიკამდე რამდენიმე წუთს იკავებს.

მიჰყევით ნაკადს, სანამ სელექტორს შეცვლით

დაიწყეთ წარუმატებელი მოთხოვნიდან და ჩაწერეთ ოთხი მნიშვნელობა: წყაროს მისამართი, რომელსაც მანქანა იყენებს, ზუსტი დანიშნულება, მარშრუტი, რომელსაც ბირთვი ირჩევს, და პოლიტიკა, რომელიც ამ წყვილს შეესაბამება.

ეს ოთხი ფაქტი წყვეტს, დაჭერა განზრახ არის თუ შემთხვევითი. დანიშნულება, რომელიც დისტანციური სელექტორის შიგნით ხვდება, დიზაინით არის დაცული, თუნდაც დიზაინი მცდარი ყოფილიყო. დანიშნულება მის გარეთ, რომელიც მაინც იჭერს, ნიშნავს, რომ სხვა რამ ემთხვევა, და სელექტორის შეცვლა არ დაეხმარება. ორივე შემთხვევა ხშირია და მათ ერთი ბრძანება განასხვავებს.

ეს გააკეთეთ მანამ, სანამ რამეს შეასწორებთ, რადგან საინტერესო შემთხვევა ლოკალური ქვექსელია, რომელიც კავშირის მიერ დაცულ კერძო დიაპაზონს ემთხვევა. ნაცნობი პრეფიქსები, როგორიცაა 192.168.0.0/16, ბევრ ქსელში გვხვდება, და ერთ-ერთი მათგანისთვის დაწერილი სელექტორი თქვენსასაც ჩუმად დაფარავს.

ლოკალურის სამი სახე, რომლებიც სხვადასხვანაირად იქცევიან

ამ ჰოსტზე მინიჭებული დანიშნულება, იმავე ბმულზე არსებული დანიშნულება და სხვა ინტერფეისის მიღმა არსებული დანიშნულება სამი სხვადასხვა შემთხვევაა. ბირთვი თითოეულს განსხვავებულად ექცევა, როცა წყვეტს, ტრაფიკს დაცვა სჭირდება თუ არა.

თავად გეითვეის მიერ გენერირებული ტრაფიკი ისიც არ არის, რაც კლიენტიდან გადაცემული ტრაფიკია. პოლიტიკა, რომელიც გადაცემული ტრაფიკისთვის სწორად გამოიყურება, შეიძლება გეითვეის საკუთარი მართვის სესია დაიჭიროს, და ასე კარგავს ადმინისტრატორი წვდომას გვირაბის შეკეთებისას.

სასარგებლო ჩვევაა შემთხვევის ხმამაღლა დასახელება: ეს პაკეტი ჩემგან მოდის, ჩემს ბმულზე მიდის თუ ჩემზე გადის? თითოეული პასუხი შევიწროვების სხვა ადგილს მიუთითებს. შემთხვევის ჩაწერა ასევე ხელს უშლის შემდეგ ადამიანს იგივე სამუშაოს ხელახლა შესრულებაში.

როცა დაცული დიაპაზონი მთელი კერძო სივრცეა, სამივე შემთხვევა შეიძლება ერთდროულად მოხვდეს მასში, და სიმპტომი ხდება მანქანა, რომელიც გვირაბის ბოლო წერტილის გარდა ვერაფერს აღწევს.

წაიკითხეთ დაყენებული პოლიტიკა, არა ფაილი

კონფიგურაციის ფაილები განზრახვას აღწერენ; ბირთვი ინახავს იმ პოლიტიკებს, რომლებიც ნამდვილად ემთხვევა. აჩვენეთ ორივე და შეუსაბამობა პირველ აღმოჩენად ჩათვალეთ.

ეს ბრძანებები აჩვენებს დანიშნულებისთვის არჩეულ მარშრუტს და დაყენებულ პოლიტიკებს თითოეული მიმართულებით:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

მარშრუტი გეუბნებათ, რომელ ინტერფეისს გამოიყენებდა პაკეტი. პოლიტიკების სია გეუბნებათ, გამოყენებული იქნება თუ არა შემდეგ შაბლონი ამ პაკეტზე, და კავშირების სია აჩვენებს, რომელი სელექტორები ჰგონია დემონს დაყენებული. თუ დანიშნულება დისტანციურ სელექტორში ჩნდება, დაჭერა გამოცნობის გარეშე იპოვეთ.

შევიწროვეთ სელექტორი ან გვერდი აუარეთ დანიშნულებას

არსებობს ორი მხარდაჭერილი შეკეთება და ისინი სხვადასხვა კითხვას პასუხობენ. სელექტორის შევიწროვება ამბობს, რომ ეს კავშირი მხოლოდ უფრო პატარა დიაპაზონს იცავს, რაც სწორია, როცა ფართო დიაპაზონი შეცდომა იყო. გვერდის ავლის დამატება ამბობს, რომ ეს კონკრეტული დანიშნულება არასოდეს უნდა იყოს დაცული, რაც სწორია, როცა დაცული დიაპაზონი მართლაც ფართოა და ერთი დანიშნულება გამონაკლისია.

აირჩიეთ პირველი, როცა შეგიძლიათ, რადგან პატარა სელექტორზე მსჯელობა უფრო ადვილია და ის კავშირის განსაზღვრებაში ჩანს. აირჩიეთ მეორე, როცა ფართო დიაპაზონი განზრახ არის და გამონაკლისი ერთი ჰოსტი ან ქვექსელია, რომელსაც დაასახელებთ.

ორივე ეკუთვნის იმ კონფიგურაციას, რომელიც კავშირს ფლობს. ხელით დამატებული გაშვების დროის წესი გაქრება შემდეგ ხელახლა დაკავშირებისას, და ხარვეზი ბრუნდება იმ მომენტში, როცა არავის ახსოვს გვერდის ავლა.

გადაყენებისადმი მედეგი გამონაკლისები

ცვლილების შემდეგ გაიმეორეთ იგივე უვნებელი მოთხოვნა და შეხედეთ იმავე მრიცხველებს. ლოკალურმა დანიშნულებამ უნდა უპასუხოს, და განზრახული დისტანციური დანიშნულება კვლავ უნდა აჩვენებდეს დაშიფრულ ტრაფიკს.

ეს ორი შემოწმება ადასტურებს, რომ გამონაკლისმა იმოქმედა, დაცვამ კი არა:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

შემდეგ განზრახ გათიშეთ და ხელახლა დააკავშირეთ გვირაბი და გაიმეორეთ ორივე. გამონაკლისი, რომელიც მუშაობს ხელახლა დაკავშირებამდე და ვერ მუშაობს შემდეგ, არასწორ ფენაზე იქნა გამოყენებული, და ეს არის ამ პრობლემის დაბრუნების ყველაზე გავრცელებული გზა.