IPsec მრავალი ქვექსელით კარგავს დაბრუნების ტრაფიკს? დათვალეთ reqid-ები
ერთმიმართულებიანი ტრაფიკი მრავალ ქვექსელიან გვირაბში, როგორც წესი, პოლიტიკისა და reqid-ის შეუსაბამობაა და არა დაშიფვრის ან მარშრუტიზაციის. წაიკითხეთ xfrm მონაცემთა ბაზები რიგითად.
ტრაფიკი ტოვებს ერთ ადგილს და არასოდეს ბრუნდება, ორივე კარიბჭე იტყობინება დასრულებულ მოლაპარაკებას, და ერთადერთი ნიშანია პასუხების გარეშე გამავალი პაკეტების გროვა. Linux-ის ბოლო წერტილში ჩვეულებრივი მიზეზი არ არის დაშიფვრის სიძლიერე, MTU ან მარშრუტიზაციის ცხრილი. ეს არის პოლიტიკის ჩანაწერების გრანულარობა და რიცხვი, რომელიც აკავშირებს თითოეულ პოლიტიკას უსაფრთხოების ასოციაციასთან. ქვემოთ მოცემული პროცედურა კითხულობს ამ ორ ბაზას, სანამ სხვა რამეს შეეხება.
გაყავით სიმპტომი, სანამ რამეს შეცვლით
ერთმიმართულებიანი ხარვეზი დასრულებული IKE მოლაპარაკებით ავიწროებს პრობლემას მონაცემთა გზაზე. ან გამავალი პოლიტიკა დაემთხვა და პასუხი განადგურდა, ან პასუხი არასოდეს მოვიდა, რადგან მეორე მხარეს არაფერი ჰქონდა მის გასაგზავნად. აპლიკაციისთვის ორივე ერთნაირად გამოიყურება, და xfrm ბაზები განასხვავებს მათ.
არ დაიწყოთ MTU-ით. არასწორი MTU იძლევა გაჭედვას და ფრაგმენტაციის სიმპტომებს, და არა სუფთა მიმართულების გაყოფას მზარდი გამავალი მთვლელებით.
წაიკითხეთ პოლიტიკის ბაზა და მდგომარეობის ბაზა
Linux-ში დაშიფვრას პოლიტიკის ჩანაწერები წყვეტს, ამიტომ შესაბამისი პოლიტიკა, და არა მარშრუტი, შეიყვანს პაკეტს გვირაბში. გაუშვით ip xfrm policy, რომ ნახოთ სელექტორები, მიმართულება, პრიორიტეტი და თითოეული ჩანაწერის შაბლონი, და ip xfrm state, რომ ნახოთ დამყარებული ასოციაციები მათი reqid-ებით. პოლიტიკა და ასოციაცია დაკავშირებულია ამ reqid-ით.
შეხედეთ სამივე მიმართულებას. გამავალი და შემავალი მოიცავს ტრაფიკს ამ ჰოსტისკენ და მისგან; გადამისამართების მიმართულება მნიშვნელოვანია, როცა ჰოსტი სხვებისთვის მარშრუტიზაციას აკეთებს. არსებული ან შეუსაბამო ჩანაწერი ერთ მიმართულებაში ხსნის ერთმიმართულებიან შედეგს ყოველგვარი კრიპტოგრაფიული ხარვეზის გარეშე.
კლასიკური ასიმეტრია: ერთი reqid რამდენიმე ქვექსელისთვის
ხშირი ხარვეზი მოდის პარტნიორისგან, რომელიც ყველა შეთანხმებული ქვექსელის პოლიტიკას ერთი reqid-ის ქვეშ აყენებს, რაც ხდება racoon-ის generate_policy require შემთხვევაში. ტრაფიკი მაშინ გადის ბოლოს დამყარებული ასოციაციით, ხოლო მეორე მხარე ყოველ ქვექსელზე ცალკე ასოციაციას ინახავს. პასუხები მოდის ასოციაციაზე, რომლის reqid არ მიუთითებს იმ პოლიტიკაზე, რომელსაც ისინი უნდა მიეღო, და ბირთვი მათ დეშიფრაციის შემდეგ ყრის.
გასწორება კონფიგურაციის ცვლილებაა და არა ფაიერვოლის წესი: generate_policy unique; ყოველ პოლიტიკას საკუთარ reqid-ს აძლევს, ასე რომ პარტნიორის პოლიტიკით განსაზღვრულ ასოციაციებს შესაბამისი პარტნიორები აქვთ. გამოიყენეთ ეს, ხელახლა მოილაპარაკეთ და დათვალეთ განსხვავებული reqid-ები მოსალოდნელი ქვექსელებისთვის, სანამ წარმატებას გამოაცხადებთ.
თუ ორი ქვექსელი კვლავ იზიარებს ერთ reqid-ს, მაშინ როცა მეორე მხარე ორს ელოდება, თქვენ იპოვეთ ასიმეტრია. ჩაწერეთ შესაბამისობა, რადგან ეს არის მტკიცებულება იმისა, რომ შემდეგმა ცვლილებამ ის გამოასწორა ან შეინარჩუნა.
სელექტორები მოლაპარაკებიდან მოდის და არა თქვენი კონფიგურაციიდან
დაცული დიაპაზონები არის ის, რაზეც ორივე მხარე შეთანხმდა და არა ის, რაც ერთმა მხარემ მოითხოვა. კლიენტი, რომელიც სთავაზობს ჰოსტების წყვილს ფართო დისტანციურ დიაპაზონთან, იღებს კარიბჭის შევიწროებულ ვერსიას და კლიენტი ვერ გააფართოებს მას. წაიკითხეთ დაყენებული სელექტორები და არა თქვენს ლოკალურ ფაილში არსებული.
როცა მიზანი საპირისპიროა, ერთი დანიშნულების გვირაბის გარეთ შენარჩუნება, დაამატეთ გვერდის ავლის პოლიტიკა უფრო დაბალი პრიორიტეტის ნომრით, რომ მან ავტომატურად დაყენებული ჩანაწერი დაამარცხოს. შაბლონის გარეშე პოლიტიკა ნებას რთავს ღია ტექსტს, რაც მას ცვლილებების ჟურნალისთვის განზრახ გამონაკლისად აქცევს და არა გამართვის ნაბიჯად.
შეამოწმეთ ამ რიგით და იცოდეთ როგორ დააბრუნოთ უკან
ჩამოთვალეთ პოლიტიკები ყოველი ქვექსელისთვის ორივე მიმართულებით, გადამისამართების ჩათვლით, თუ ჰოსტი მარშრუტიზაციას აკეთებს. დათვალეთ განსხვავებული reqid-ები და დაადასტურეთ თითო პოლიტიკაზე იმ მხარეს, რომელიც მას ელოდება. შეადარეთ დაყენებული სელექტორები შეთანხმებულს. გასაღების განახლების შემდეგ ხელახლა წაიკითხეთ ასოციაციის მთვლელები, რადგან შემოწმებული ასოციაცია შეიძლება უკვე წასული იყოს. მარშრუტები ბოლოს შეამოწმეთ, ვინაიდან დისტანციურ ქვექსელზე მარშრუტის არარსებობა იძლევა მსგავს ერთმიმართულებიან სიმპტომს სუფთა პოლიტიკის მთვლელებით.
სანამ პარტნიორს შეცვლით, შეინახეთ ორივე xfrm ბრძანების მიმდინარე გამომავალი. თუ ახალი პარამეტრი არ აღადგენს დაბრუნების მიმართულებას, ამ გამომავალის აღდგენა უფრო სწრაფი დაბრუნებაა, ვიდრე გვირაბის მეხსიერებიდან ხელახლა აშენება, და ინარჩუნებს შედარებას პატიოსანს.