IKEv2 კლიენტამდე მისვლა მის მინიჭებულ ვირტუალურ IP-ზე

კარიბჭემ უნდა დაიწყოს კავშირი ნოუთბუქთან, რომელიც მას IKEv2-ით უკავშირდება, და გამოიყენოს ამ კლიენტისთვის მინიჭებული ვირტუალური მისამართი. გვირაბი აწეულია, კლიენტი აღწევს ყველაფერს კარიბჭის მიღმა, მაგრამ საპირისპირო მიმართულება კვლავ ვერ მუშაობს. ეს ასიმეტრია ნორმალურია: შეთანხმებული პოლიტიკა აღწერს, რომელ მისამართებს შეუძლიათ საუბარი და არა იმას, რომელ მხარეს შეუძლია დაწყება. სამი რამ უნდა დაემთხვეს, სანამ კარიბჭიდან დაწყებული მოთხოვნა იმუშავებს.

გვირაბი წყაროს მისამართს არ ასწორებს

CHILD SA ფარავს ტრაფიკის სელექტორთა წყვილს, თითო თითოეული მხარისთვის, და ნებას რთავს ტრაფიკს ამ წყვილის ორივე მიმართულებით. ის არაფერს ამბობს იმაზე, რომელმა პარტნიორმა გახსნა IKE გაცვლა პირველმა. კარიბჭეს, რომელიც თავდაპირველად გვირაბს უსმენდა, მაინც შეუძლია გაგზავნოს პირველი აპლიკაციის პაკეტი, იმ პირობით, რომ არჩეული წყარო და დანიშნულება მოხვდებიან დაყენებულ სელექტორებში. როცა მოთხოვნა არასწორი ინტერფეისიდან გადის, ის უბრალოდ არ არის გვირაბისთვის შესაფერისი.

მარშრუტიზაცია კლიენტისკენ აუცილებელია და არ არის საკმარისი. პოლიტიკამ უნდა დაუშვას ის წყარო, რომელიც რეალურად გამოიყენეთ.

წაიკითხეთ დაყენებული პოლიტიკა და არა კონფიგურაციის ფაილი

დაიწყეთ აქტიური ასოციაციიდან და მისი სელექტორებიდან, რადგან დინამიკური მინიჭება ცვლის იმას, რაც ბირთვშია დაყენებული.

ipsec statusall
ip xfrm policy

სტატუსის გამონატანი ასახელებს კავშირს, მინიჭებულ ვირტუალურ მისამართს და სელექტორებს, რომლებიც ახლა ძალაშია ამ პარტნიორისთვის. პოლიტიკის დამპი იმავე სელექტორებს აჩვენებს როგორც ბირთვის მდგომარეობას და სწორედ მას კითხულობს პაკეტების შერჩევა. შეადარეთ კარიბჭის მხარის სელექტორი იმ წყაროს, რომელსაც თქვენი აპლიკაცია გამოიყენებს, რადგან შეუსაბამობა უცებ ხსნის ჩავარდნას. წაიკითხეთ კლიენტის მიმდინარე მისამართი და არა წინა სესიის, რადგან ხელახლა მინიჭებული VIP ძველ პოლიტიკას ბათილად აქცევს.

კლიენტმა უნდა უსმინოს იქ, სადაც პაკეტი აღწევს

სრულყოფილი პოლიტიკაც კი დახურულ პორტამდე აღწევს, როცა სერვისი მხოლოდ loopback-ს უკავშირდება. მსმენელი უნდა იყოს მინიჭებულ მისამართზე ან ლოკალურ ველურ ბარათის მისამართზე.

ss -ltnp 'sport = :9090'
iptables -S INPUT

სოკეტების სია გვიჩვენებს, დაკავშირებულია თუ არა პორტი ვირტუალურ მისამართზე, ხოლო დაცული კედლის წესები გვიჩვენებს, მიიღება თუ არა ახალი კავშირები დაცული წყაროდან. დამყარებული კავშირებისთვის დაწერილი წესი არ უშვებს კავშირს, რომელსაც კარიბჭე იწყებს. შეინარჩუნეთ სერვისის საკუთარი აუთენტიფიკაცია, რადგან გვირაბით მოსვლა მხოლოდ იმას ადგენს, რომელი ქსელიდან მოვიდა პაკეტი. საკუთარ NAT-ს მიღმა მყოფ კლიენტს კვლავ არ სჭირდება შემომავალი პორტის გადამისამართება, რადგან ეს მოთხოვნები არსებული გვირაბის შიგნით მოძრაობს.

გამოსცადეთ ახალი მიმართულება ცალკე

მუშა მოთხოვნა კლიენტიდან სერვერზე ამ გზას არასოდეს ცდის. შექმენით მოთხოვნა კარიბჭიდან და დააკვირდით ორივე ბოლოს.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

მარშრუტის ძებნა პასუხობს, რომელ წყაროსა და ინტერფეისს გამოიყენებდა კარიბჭე, და სწორედ ეს მნიშვნელობა უნდა დაუშვას პოლიტიკამ. ჩანაწერმა უნდა აჩვენოს, რომ მოთხოვნა ESP-ის შიგნით გადის და არა როგორც ჩვეულებრივი TCP საჯარო ინტერფეისზე. კლიენტზე ჩაწერეთ გაშიფრული ტრაფიკი, რათა დაადასტუროთ მოსვლა და სერვისის პასუხი. თუ მოთხოვნა ქსელში ESP-ის გარეშე ქრება, ეჭვი შეიტანეთ წყაროს მისამართში კლიენტის კედელზე ადრე.

გაიმეორეთ ტესტი გასაღების განახლების ან ხელახალი დაკავშირების შემდეგ, რადგან VIP შეიძლება შეიცვალოს. გზა, რომელიც მხოლოდ შემდეგ სესიამდე მუშაობს, სამუშაო გზა არ არის.