რატომ IPsec უსაფრთხოების პოლიტიკა მარშრუტიზაციის ცხრილის ჩანაწერი არ არის

გაუშვით ping 10.20.0.5-ზე გვირაბის გავლით და არაფერი ბრუნდება, მაშინ როცა მარშრუტიზაციის ცხრილი ამტკიცებს, რომ ეს ქვექსელი ხელმისაწვდომია. მარშრუტიზაცია და IPsec სხვადასხვა კითხვას პასუხობს და მათგან მხოლოდ ერთია ხელმისაწვდომობაზე. წინა ძებნა ირჩევს გზას, შემდეგ უსაფრთხოების პოლიტიკის მონაცემთა ბაზა წყვეტს, უნდა დაიცვას ეს გზა, დატოვოს როგორც არის თუ უარყოს. როცა ორივე არ ეთანხმება, პაკეტი ჩუმად კვდება, ამიტომ წაიკითხეთ ისინი ამ თანმიმდევრობით.

დაიწყეთ ძებნით და არა ცხრილით

ჰკითხეთ ბირთვს, რას გააკეთებდა სინამდვილეში: ip route get 10.20.0.5 ბეჭდავს არჩეულ მარშრუტს, გამავალ ინტერფეისს და წყაროს მისამართს, რომელსაც გამოიყენებდა. პრეფიქსი, პოლიტიკის წესი, ნიშანი ან სასურველი წყარო შეიძლება შეცვალოს ეს პასუხი, ამიტომ ცოცხალი ძებნა სჯობს ცხრილის თვალით კითხვას.

შეამოწმეთ დანიშნულება დაცულ დიაპაზონში და არა კარიბჭის მისამართი. მეორე მხარის კარიბჭემდე მისვლა მხოლოდ იმას ამტკიცებს, რომ რაღაც მარშრუტი არსებობს; ის არაფერს ამბობს იმ ქვექსელზე, რომელიც რეალურად გჭირდებათ. შემდეგ დაადასტურეთ, რომ ძებნის მიერ არჩეული ინტერფეისი არის ის, რასაც გვირაბისგან ელოდებით.

შეადარეთ სელექტორები ორივე მხარეს

პოლიტიკის ბაზას აქვს საკუთარი ჩანაწერები და თითოეული ასახელებს მიმართულებას, წყაროს, დანიშნულებასა და პროტოკოლს, შემდეგ კი ამბობს, რა უნდა მოხდეს შესაბამის პაკეტებთან. გამოიყენეთ ip xfrm policy მათ ჩამოსათვლელად; დროშები აჩვენებს, დაცვაა მოქმედება, გვერდის ავლა თუ დაბლოკვა. პოლიტიკა, რომლის სელექტორები უფრო ფართო ან ვიწროა, ვიდრე თქვენი სატესტო ნაკადი, არ დაემთხვევა მას და პაკეტი დაუცველი გავა. ეს არის ის გაუმართაობა, რომელსაც ეძებთ და არა დაკარგული მარშრუტი.

შეადარეთ რეალური მნიშვნელობები: წყარო, დანიშნულება, პროტოკოლი და პორტები. თუ ძებნამ ერთი მისამართების წყვილი ამოხსნა, ხოლო პოლიტიკის ჩანაწერი მეორეს ფარავს, ორი ხედი სხვადასხვა ტრაფიკს აღწერს. ხელახლა გაუშვით ორივე იმავე კორტეჟით, სანამ დასკვნას გამოიტანთ, თორემ შეასწორებთ პოლიტიკას, რომელიც არასდროს ყოფილა გზაზე.

პოლიტიკის დამთხვევა არ არის დაინსტალირებული მდგომარეობა

დამთხვეული პოლიტიკა მხოლოდ ამბობს, რომ პაკეტი უნდა იყოს დაცული; ბირთვს მაინც სჭირდება უსაფრთხოების ასოციაცია დაცვის შესასრულებლად. ჩამოთვალეთ ისინი ip xfrm state-ით, ან swanctl --list-sas-ით, როცა strongSwan აწარმოებს მოლაპარაკებას, და წაიკითხეთ თითოეული ჩანაწერის სელექტორები და მრიცხველები.

როცა პოლიტიკა ემთხვევა და არც ერთი ასოციაცია არ ფარავს იმავე სელექტორებს, პაკეტი იშლება ღია ტექსტით გაგზავნის ნაცვლად. ეს არის ის გაშლა, რომელიც უნდა მოძებნოთ, როცა გვირაბი აწეულია, მაგრამ ერთი ქვექსელი ვერ მუშაობს. მრიცხველები დანარჩენს ამბობენ: ასოციაცია, რომელიც არასდროს იზრდება, არასდროს არჩეულა, ხოლო ის, რომელიც იზრდება და მაინც გაშლით მთავრდება, შორეულ მხარეზე მიუთითებს. სელექტორების გასწორება და გასაღებების განახლება სხვადასხვა შეკეთებაა, ამიტომ გადაწყვიტეთ, რომელი გჭირდებათ, სანამ კონფიგურაციას შეეხებით.

რას მაინც მოითხოვს მარშრუტზე დაფუძნებული გვირაბი

XFRM ინტერფეისი გვირაბს აჩვენებს როგორც მოწყობილობას, რომელშიც შეგიძლიათ მარშრუტიზაცია, რაც ნამდვილად სასარგებლოა. ის არ აშორებს პოლიტიკასა და მდგომარეობას, რომლებიც წყვეტენ, რა მოხდება პაკეტის იქ მისვლის შემდეგ. მარშრუტი შემდეგ ნახტომს აძლევს და მეტს არაფერს.

თუ მოწყობილობა არსებობს და მარშრუტი მასში მიუთითებს, ხოლო არც ერთი ასოციაცია არ ემთხვევა შიდა სელექტორებს, პაკეტი უგულებელყოფილია და მარშრუტების რედაქტირების არც ერთი რაოდენობა არ ქმნის გასაღებებს ან სელექტორებს. შეამოწმეთ ინტერფეისი იმავე წყაროთი და დანიშნულებით, რომლითაც მარშრუტიზაცია გააკეთეთ, შემდეგ შეადარეთ ის მდგომარეობების სიას.

გაარკვიეთ საკუთრება, სანამ რამეს შეასწორებთ

ჰოსტის ფაირვოლი ამატებს მესამე გადაწყვეტილებას, რომლის შესახებ არც ერთმა ბაზამ არ იცის. სწორი მარშრუტი პლუს დამთხვეული პოლიტიკა პლუს დაინსტალირებული ასოციაცია მაინც შეიძლება დასრულდეს გაშლილი პაკეტით და აპლიკაცია მხოლოდ დროის ამოწურვას აცნობებს. დაადასტურეთ, რომ ფაირვოლი უშვებს დაცულ ტრაფიკს, სანამ IPsec-ს დაადანაშაულებთ. გვირაბის მოწყობილობაზე და ფიზიკურ ინტერფეისზე ჩაჭერა აჩვენებს, დაშიფვრის რომელ მხარეს გაქრა პაკეტი.

კონფიგურაციის საკუთრება წყვეტს, გადაურჩება თუ არა თქვენი შესწორება გადატვირთვას. ერთმა კომპონენტმა შეიძლება დააინსტალიროს მდგომარეობა, მაშინ როცა მეორე მართავს მარშრუტებს, და მეორეზე ხელით შეტანილი ცვლილება გადაიწერება შემდეგ ჯერზე, როცა გვირაბი ამოვა. შეცვალეთ მფლობელი კონფიგურაცია, შემდეგ ხელახლა წაიკითხეთ ორივე ხედი; RFC 4301 ორ ბაზას ცალ-ცალკე ინახავს, როცა ეს გაყოფა სხვისთვის უნდა ახსნათ.