XFRM-ის ნაგულისხმევმა მარშრუტმა IKE და ESP გადაყლაპა: შეინარჩუნეთ გარე გზა

ტრაფიკი დაცულია, გვირაბი მუშაობს, შემდეგ კი ის კვდება შემდეგი გასაღების განახლებისას. ნაგულისხმევი მარშრუტი XFRM-ის ინტერფეისით აღწერდა იმ ტრაფიკს, რომლის დაცვაც გსურდათ. მან ასევე გადაყლაპა ის პაკეტები, რომლებიც დაცვის გასაგრძელებლად არის საჭირო.

მონაწილე ორი დანიშნულება ურთიერთშენაცვლებადი არ არის. მარშრუტიზაციამ ეს ცხადად უნდა თქვას.

სად მიდის სინამდვილეში მეწყვილის ძებნა

ჩაწერეთ აქტიური წესები, XFRM-ის მარშრუტის შემცველი ცხრილი და მეწყვილის საჯარო მისამართი. შემდეგ შეხედეთ იმ გზას, რომელსაც გარე კავშირი გაივლის თავისი რეალური წყაროთი და ნიშნით. ზოგადი დანიშნულება არაფერს გეუბნებათ ამ სამართავ გზაზე. მხოლოდ რეალური წყარო და ნიშანი იძლევა სასარგებლო პასუხს.

წარმატებული საწყისი კავშირიც ცოტას ამტკიცებს. ხარვეზი ხშირად ჩნდება მას შემდეგ, რაც მარშრუტის ინსტალაცია პასუხს ცვლის. გაშვება წარმატებით სრულდება, შემდეგ პირველი განახლება აღარ.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

თუ მეწყვილის ძებნა XFRM-ის ინტერფეისში მთავრდება, გარე პაკეტები იმ გვირაბში მარშრუტირდება, რომელსაც ისინი თავად აშენებენ. ეს არის მარყუჟი, ერთი ბრძანებით ხილული.

გამორიცხვის ვარიანტები თანამედროვე კარიბჭეზე

strongSwan-ის მარშრუტზე დაფუძნებული VPN-ის დოკუმენტაცია ორ პრაქტიკულ პასუხს გვთავაზობს. ერთი მონიშნავს IKE-ს და ESP-ს, რათა XFRM-ის ცხრილზე მიმთითებელი წესი მათ არ შეეხოს. მეორე ტოვებს მეწყვილის მარშრუტს ან გამორიცხვას, რომელსაც ძებნა ჯერ კიდევ აღწევს.

აირჩიეთ ის, რაც თქვენს წესების ერთობლიობას გვერდითი ეფექტების გარეშე შეუძლია გამოხატოს. ნიშანი სუფთაა, როცა დანარჩენი სტეკი უკვე იყენებს ნიშნებს. ის საშიშია, როცა იგივე ნიღაბი სხვა წესში სხვას ნიშნავს. პაკეტების ორივე ტიპს ყოველ შემთხვევაში ეს დამუშავება სჭირდება.

მხოლოდ IKE-ის მონიშვნა მონაცემთა პაკეტებს დაჭერილ გზაზე ტოვებს. ეს ქმნის გვირაბს, რომელიც ხელის ჩამორთმევას ასრულებს და შემდეგ არაფერს გადააქვს.

ნიშანი არის ერთი ბიტი პაკეტის fwmark-ში, რომელზეც კარიბჭეზე სხვა არაფერი აცხადებს პრეტენზიას: 0x1 0x1 ნიღბით ჩვეული არჩევანია და ორ ადგილას უნდა დაყენდეს, რომ გამორიცხვამ იმუშაოს. Charon-ს ის სჭირდება IKE-ის სოკეტზე, ხოლო შვილობილი კავშირის შემავალი და გამავალი ნიშნის პარამეტრებს იგივე მნიშვნელობა სჭირდება, რომ კაფსულირებული პაკეტებიც ნიშნიანები გავიდნენ. 0xffffffff-ის ნაცვლად 0x1 ნიღაბი დარჩენილ ბიტებს თავისუფლად ტოვებს, რაც მნიშვნელოვანია, როცა სხვა ქვესისტემა უკვე ნიშნავს პაკეტებს იმავე ჰოსტზე. ორივეს დაყენებისას წესი გამორიცხვის სახით იწერება, ამიტომ ნიშნიანი პაკეტები გამოტოვებენ XFRM-ის მარშრუტის ცხრილს და მთავარ ცხრილში ვარდებიან:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

შემდეგ წაიკითხეთ პასუხი გამოყენებული ნიშნით. მის გარეშე თქვენ იკვლევთ გზას, რომელსაც დაცული ტრაფიკი გადის, რაც ამ განყოფილების კითხვის საპირისპიროა.

რას ვარაუდობს ავტომატური ინსტალაცია აგებულების შესახებ

XFRM-ის ინტერფეისისთვის ავტომატური მარშრუტის ინსტალაცია დამოკიდებულია strongSwan-ის ვერსიაზე და მის კონფიგურაციაზე. ინტერფეისის ID, დაინსტალირებული პოლიტიკა და ასოციაცია ყველა უნდა მიუთითებდეს განზრახ ობიექტებზე. შეუსაბამობა ჩნდება როგორც მარშრუტი, რომელიც ჩუმად მიუთითებს სადღაც რეალურზე.

ცხრილის ნომრის ან ნიშნის ნიღბის სხვა კარიბჭიდან კოპირება შეჯახებების დაწყების გზაა. ჯერ შეამოწმეთ, რა იყენებს უკვე მას. შეჯახება ზემოქმედებს ტრაფიკზე იმ გვირაბზე ბევრად შორს, რომლის შეცვლაც გსურდათ, და სიმპტომი იშვიათად მიუთითებს ასლზე.

მეწყვილის მისამართის ცვლილებები დიზაინის ნაწილია. გუშინდელი მისამართისთვის ჰოსტ-მარშრუტი საბოლოო წერტილის აღდგენის გეგმა არ არის, ხოლო ნიშანი გადაურჩება ამ ცვლილებას.

თვალი ადევნეთ პირველ განახლებას

შეამოწმეთ გარე გზა მას შემდეგ, რაც დაცული მარშრუტები დაყენდება, და არა მანამდე. შემდეგ თვალი ადევნეთ შემდეგ განახლებას და ერთ აპლიკაციის გაცვლას. ხარვეზი ჩვეულებრივ სწორედ ამ გადასვლისას ჩნდება და არა გაშვებისას.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

დაცული ნაგულისხმევი მარშრუტის დროებით მოცილება ჩვეულებრივ აღადგენს კავშირს. ეს შედეგი დიაგნოსტიკურია, არა საბოლოო.

მიზანია სტაბილური გაყოფა შიდა ტრაფიკსა და მის მატარებელ გარე პაკეტებს შორის. ჩაწერეთ არჩეული მექანიზმი და მისი ცხრილი ან ნიშანი კარიბჭის ჩანაწერებში. წინააღმდეგ შემთხვევაში წესებს რომ შეეხება შემდეგი ადამიანი, მარყუჟს კვლავ შემოიტანს.