IPsec саясаты жергілікті трафигіңізді жұтып қоюда: оны қалай тануға болады

Үстелдегі принтер туннель көтерілген сәтте жауап беруді тоқтатады, ал туннель конфигурациясында принтер туралы ештеңе айтылмайды. Әдетте қорғалған ауқым оны қамтитындай кең жазылған, сондықтан машина енді жергілікті сегментте қалуы тиіс трафикті шифрлауға тырысады. Орнатылған саясатты оқу ұстауды түсіндіреді; оны дұрыс жерде тарылту қашықтағы трафикті қорғалған күйде ұстайды. Сәтсіз сұраныстан сәйкес саясатқа дейінгі жол бірнеше минут алады.

Селекторды өзгертуден бұрын ағынды қадағалаңыз

Сәтсіз сұраныстан бастап төрт мәнді жазыңыз: машина пайдаланатын бастау мекенжайы, нақты межелі жер, ядро таңдайтын маршрут және осы жұпқа сәйкес келетін саясат.

Осы төрт факт ұстаудың әдейі немесе кездейсоқ екенін шешеді. Қашықтағы селектордың ішіне түсетін межелі жер дизайн бойынша қорғалады, дизайн қате болса да. Оның сыртында болып, бәрібір ұсталатын межелі жер басқа нәрсенің сәйкес келетінін білдіреді, ал селекторды өзгерту көмектеспейді. Екі жағдай да жиі кездеседі және оларды бір команда ажыратады.

Мұны бірдеңені өңдеуден бұрын жасаңыз, себебі қызықты жағдай — байланыс қорғайтын жеке ауқыммен қабаттасатын жергілікті қосымша желі. 192.168.0.0/16 сияқты таныс префикстер көптеген желілерде кездеседі және солардың бірі үшін жазылған селектор сіздікін байқатпай қамтуы мүмкін.

Өзін басқаша ұстайтын үш жергілікті түр

Осы хостқа тағайындалған межелі жер, сол байланыстағы межелі жер және басқа интерфейстің артындағы межелі жер — үш түрлі жағдай. Ядро трафикке қорғаныс қажет пе, жоқ па деп шешкенде олардың әрқайсысын бөлек қарастырады.

Шлюздің өзі жасайтын трафик те клиенттен жіберілген трафикпен бірдей емес. Жіберілген трафик үшін дұрыс көрінетін саясат шлюздің өз басқару сессиясын ұстап қалуы мүмкін, сөйтіп әкімші туннельді жөндеп жатқанда қатынасуды жоғалтады.

Пайдалы әдет — жағдайды дауыстап атау: бұл пакет менен келе ме, менің байланысыма бара ма, әлде менен өте ме? Әр жауап тарылтатын басқа орынды көрсетеді. Жағдайды жазып қою келесі адамның сол жұмысты қайталауына жол бермейді.

Қорғалған ауқым бүкіл жеке кеңістік болса, үш жағдай да бір уақытта оның ішіне түсуі мүмкін және симптом туннельдің соңғы нүктесінен басқа еш жерге жетпейтін машинаға айналады.

Орнатылған саясатты оқыңыз, файлды емес

Конфигурация файлдары ниетті сипаттайды; ядро шын мәнінде сәйкес келетін саясаттарды ұстайды. Екеуін де көрсетіңіз және сәйкессіздікті бірінші табылым деп қабылдаңыз.

Бұл командалар межелі жер үшін таңдалған маршрутты және әр бағытта орнатылған саясаттарды көрсетеді:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Маршрут пакеттің қай интерфейсті пайдаланатынын айтады. Саясаттар тізімі осы пакетке кейін үлгі қолданылатынын айтады, ал байланыстар тізімі демон қандай селекторларды орнатты деп есептейтінін көрсетеді. Межелі жер қашықтағы селекторда пайда болса, сіз ұстауды болжамсыз таптыңыз.

Селекторды тарылтыңыз немесе межелі жерді айналып өтіңіз

Екі қолдау көрсетілген түзету бар және олар әртүрлі сұрақтарға жауап береді. Селекторды тарылту бұл байланыс тек кішірек ауқымды қорғайды дейді; бұл кеңірек ауқым қате болса дұрыс. Айналып өтуді қосу бұл нақты межелі жер ешқашан қорғалмауы керек дейді; бұл қорғалған ауқым шын мәнінде кең болса және бір межелі жер ерекшелік болса дұрыс.

Мүмкін болса біріншісін таңдаңыз, себебі кішірек селектор туралы ойлау оңайырақ және ол байланыс анықтамасында көрінеді. Кең ауқым әдейі болса және ерекшелік атай алатын жалғыз хост немесе қосымша желі болса, екіншісін таңдаңыз.

Екеуі де байланысқа ие конфигурацияға жатады. Қолмен қосылған орындалу уақыты ережесі келесі қайта қосылуда жоғалады және ақау ешкім уақытша шешімді есіне түсірмейтін сәтте қайта оралады.

Қайта орнатудан аман қалатын ерекшеліктер

Өзгерістен кейін сол зиянсыз сұранысты қайталаңыз және сол есептегіштерді қараңыз. Жергілікті межелі жер жауап беруі керек, ал көзделген қашықтағы межелі жер әлі де шифрланған трафикті көрсетуі керек.

Бұл екі тексеру ерекшеліктің аман қалғанын, ал қорғаныстың қалмағанын растайды:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Содан кейін туннельді әдейі ажыратып, қайта қосыңыз және екеуін де қайталаңыз. Қайта қосылуға дейін жұмыс істеп, кейін сәтсіз болатын ерекшелік дұрыс емес қабатқа қолданылған, және бұл осы мәселенің қайта оралуының ең көп таралған жолы.