IPsec-ის ტრაფიკის სელექტორები: რას ფარავენ და რას არა

ტრაფიკის სელექტორები ასახელებენ იმ შიდა ტრაფიკს, რომელსაც IPsec-ის შეთანხმება იცავს, და წყვილი მოლაპარაკებით დგინდება და არა ვარაუდით. ორმა ბოლომ შეიძლება ერთმანეთი სრულყოფილად დაადასტუროს და მაინც არ დაეთანხმოს, რომელი პაკეტები ეკუთვნის გვირაბის შიგნით. ეს უთანხმოება კავშირის სტატუსში უხილავია, რომელიც ჩვეულებრივ ჯანსაღ გვირაბს აცხადებს. სელექტორების ორივე ბოლოდან წაკითხვა და შემდეგ ერთი დანიშნულების მიყოლა მას უფრო სწრაფად პოულობს, ვიდრე პოლიტიკის ნებისმიერი რედაქტირება.

წაიკითხეთ ისინი ორივე ბოლოდან

თითოეული ბოლო თავის მხარეს აღწერს როგორც ლოკალურს, ხოლო მეორე მხარეს როგორც დისტანციურს. ამიტომ ერთი და იგივე პრეფიქსების წყვილი ორ კონფიგურაციაში შეცვლილი ჩანს, და ეს სწორია და არა წინააღმდეგობრივი. პერსპექტივის შებრუნება პირველი რამაა, რაც უნდა გააკეთოთ, როცა მომუშავე შეთანხმება ქაღალდზე არასწორად გამოიყურება. ორი ფაილის გვერდიგვერდ შედარება მათი შეუცვლელად ქმნის ისეთ შეუსაბამობას, რომელიც არ არსებობს.

მნიშვნელობები ყოველთვის ცალკეული ქვექსელები არ არის. IKEv2-ის სელექტორებს შეუძლიათ ატარონ მისამართების დიაპაზონები, პროტოკოლის ნომრები და პორტების დიაპაზონები, და ასე იცავს პოლიტიკა ერთ სერვისს მთელი ქსელის ნაცვლად. განზრახ ტრაფიკზე უფრო ვიწრო სელექტორი ქმნის გვირაბს, რომელიც ზოგ დანიშნულებას ატარებს და სხვებს ჩუმად გამორიცხავს.

სანამ რამეს შეცვლით, დაწერეთ ორივე მხარე ერთ ცხრილში. ეს სავარჯიშო ჩვეულებრივ წყვეტს საკითხს კონფიგურაციის ფაილზე ხელის შეუხებლად.

შევიწროება პასუხისმგებელი მხარის გადაწყვეტილებაა

ინიციატორი გვთავაზობს, და პასუხისმგებელ მხარეს მხოლოდ ქვესიმრავლის მიღება შეუძლია. IKEv2 პასუხისმგებელ მხარეს აძლევს უფლებას შეავიწროოს შემოთავაზებული ტრაფიკის სელექტორები, და შევიწროებული შედეგია ის, რაც რეალურად დამონტაჟდება. ამიტომ ინიციატორის კონფიგურაციის წაკითხვა აღწერს შეთავაზებას და არა შეთანხმებას.

ამიტომ კლიენტზე დამატებულმა ქვექსელმა შეიძლება შექმნას მომუშავე გვირაბი, რომელიც მაინც უარყოფს ახალ დანიშნულებას. სერვერმა შეავიწროა შეთავაზება იმდენად, რამდენსაც მისი პოლიტიკა უშვებს, ხოლო კლიენტის ფაილი კვლავ ჩამოთვლის უფრო ფართო დიაპაზონს. მხოლოდ შეთანხმებული მდგომარეობა აჩვენებს სიმართლეს: Linux-ზე ip xfrm policy და child SA-ების სია strongSwan-ის IKEv2 დოკუმენტაციაში აცხადებენ, რა დამონტაჟდა და არა რა მოითხოვეს. როცა ეს ორი ეწინააღმდეგება, პასუხისმგებელი მხარის პოლიტიკაა შესაცვლელი.

უარყოფილი შეთავაზება განსხვავებული სიმპტომია, ვიდრე შევიწროებული. უარყოფა მოლაპარაკების ჟურნალში ჩნდება და საერთოდ არ ტოვებს child ასოციაციას.

მიჰყევით ერთ დანიშნულებას თავიდან ბოლომდე

აირჩიეთ რეალური დანიშნულება და წყაროს მისამართი, რომელსაც კლიენტი გამოიყენებდა მისთვის, შემდეგ კი მიჰყევით ამ წყვილს სამი დამოუკიდებელი გადაწყვეტილების გავლით. მარშრუტი ირჩევს გზას, სელექტორი წყვეტს, დაცულია თუ არა ეს გზა, და ბრენდმაური წყვეტს, ნებადართულია თუ არა პაკეტი. თითოეული დამოუკიდებლად შეიძლება ჩავარდეს, და ფართო სელექტორი დანარჩენებიდან არც ერთს არ ასწორებს.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

მარშრუტის მოთხოვნა ასახელებს ინტერფეისს და წყაროს მისამართს, რომლებიც პაკეტს გადაიტანდნენ. პოლიტიკების სია გვიჩვენებს, არსებობს თუ არა ამ წყვილისთვის შესაბამისი გვირაბის პოლიტიკა, მისი მიმართულებისა და დონის ჩათვლით. SA-ების სია აჩვენებს შეთანხმებულ child სელექტორებს მრიცხველებთან ერთად, ამიტომ child ასოციაცია ნულოვანი პაკეტებით ტრაფიკის ცდის შემდეგ იმ სელექტორების ხელწერაა, რომლებიც გამორიცხავენ გაგზავნილს. სამი ბრძანება, სამი განსხვავებული პასუხი, და მათგან მხოლოდ ერთი ხსნის ჩუმ ვარდნას.

თუ child მრიცხველები მოძრაობენ და აპლიკაცია კვლავ ვარდება, პრობლემა გვირაბის იქითაა. ეს იკვლევს შორეული ჰოსტის მსმენელს ან ბრენდმაურს და არა სელექტორებს.

შეინახეთ ორი მიზანი ცალკე

საოფისე ქვექსელის დაცვა და მთელი დათვალიერების შორეული გასასვლელით გაგზავნა სხვადასხვა მოთხოვნილებაა სხვადასხვა სელექტორებით. ერთისთვის აგებული პროფილი იშვიათად ერგება მეორეს, და მათი შერევა იძლევა ან გაჟონვას, ან გატეხილ გაყოფას. დაცული დიაპაზონის გაფართოება ნიშნავს ორივე ბოლოსა და მათი გადამისამართების პოლიტიკის შეცვლას, რადგან ცალმხრივი ცვლილება უარყოფილ შეთავაზებად იქცევა. ეს არის ყველაზე გავრცელებული გზა, რომლითაც მომუშავე გვირაბი პატარა რედაქტირების შემდეგ წყვეტს მუშაობას.

სელექტორები აღწერენ კრიპტოგრაფიულ დაფარვას, მარშრუტები ირჩევენ გზებს, და აპლიკაციები ახორციელებენ საკუთარ ნებართვებს. გვირაბი, რომელიც ყველაფერს ფარავს, მაინც ვერ მიაღწევს loopback-ზე მიბმულ სერვისს, და გვირაბში მიმავალ მარშრუტს მაინც სჭირდება სელექტორი, რომელიც დანიშნულებას მოიცავს. შეამოწმეთ სამივე ერთი და იმავე საცდელი მოთხოვნის წინააღმდეგ, და შეუსაბამობა თავად დაასახელებს თავს.