IPsec трафик селекторлары: олар нені қамтиды және нені қамтымайды

Трафик селекторлары IPsec келісімі қорғайтын ішкі трафикті атайды, ал жұп болжаммен емес, келіссөзбен анықталады. Екі шеткі нүкте бір-бірін мінсіз аутентификациялай алады және бәрібір қандай пакеттер туннельдің ішінде жататыны туралы келісе алмауы мүмкін. Бұл келіспеушілік байланыс күйінде көрінбейді, ол әдетте сау туннель туралы хабарлайды. Селекторларды екі жақтан оқып, содан кейін бір межеге ілесу оны саясатты қанша өңдесеңіз де тезірек табады.

Оларды екі жақтан оқыңыз

Әр шеткі нүкте өз жағын жергілікті, ал екінші жағын қашықтағы деп сипаттайды. Сондықтан бір префикстер жұбы екі конфигурацияда орындары ауысқан күйде көрінеді, және бұл дұрыс, қайшы емес. Жұмыс істеп тұрған келісім қағазда қате көрінсе, бірінші жасалатын нәрсе — көзқарасты кері бұру. Екі файлды орындарын ауыстырмай қатар салыстыру жоқ сәйкессіздік тудырады.

Мәндер әрдайым жалғыз қосымша желілер емес. IKEv2 селекторлары мекенжай ауқымдарын, протокол нөмірлерін және порт ауқымдарын алып жүре алады, және осылайша саясат бүкіл желінің орнына бір қызметті қорғайды. Көзделген трафиктен тар селектор кейбір межелерді алып жүретін және басқаларын үнсіз шығарып тастайтын туннель жасайды.

Бірдеңені өзгертудің алдында екі жақты бір кестеге жазыңыз. Бұл жаттығу әдетте конфигурация файлына тимей-ақ мәселені шешеді.

Тартылу — жауап берушінің шешімі

Бастаушы ұсыныс жасайды, ал жауап беруші тек ішкі жиынды қабылдай алады. IKEv2 жауап берушіге ұсынылған трафик селекторларын тарылтуға рұқсат береді, және тарылтылған нәтиже шын мәнінде орнатылатын нәрсе. Сондықтан бастаушының конфигурациясын оқу келісімді емес, ұсынысты сипаттайды.

Сондықтан клиентке қосылған қосымша желі жұмыс істейтін туннель жасап, жаңа межені бәрібір қабылдамауы мүмкін. Сервер ұсынысты өз саясаты рұқсат ететін деңгейге дейін тарылтты, ал клиенттің файлы әлі де кеңірек ауқымды тізіп тұр. Тек келісілген күй ғана шындықты көрсетеді: Linux-те ip xfrm policy және strongSwan-ның IKEv2 құжаттамасындағы child SA тізімі сұралғанды емес, орнатылғанды хабарлайды. Екеуі қайшы келсе, өзгерту керек нәрсе — жауап берушінің саясаты.

Қабылданбаған ұсыныс тарылтылғаннан өзге симптом. Бас тарту келіссөз журналында көрінеді және child байланысын мүлде қалдырмайды.

Бір межені басынан аяғына дейін бақылаңыз

Клиент қолданатын нақты межені және ол үшін пайдаланатын бастапқы мекенжайды таңдаңыз, содан кейін сол жұпты үш тәуелсіз шешімнен өткізіңіз. Маршрут жолды таңдайды, селектор сол жолдың қорғалғанын шешеді, ал брандмауэр пакеттің рұқсат етілгенін шешеді. Әрқайсысы жеке-дара сәтсіздікке ұшырауы мүмкін, ал кең селектор қалғандарының ешқайсысын түзетпейді.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Маршрут сұрауы пакетті алып жүретін интерфейс пен бастапқы мекенжайды атайды. Саясаттар тізімі сол жұп үшін сәйкес туннель саясатының барын, оның бағыты мен деңгейін қоса көрсетеді. SA тізімі келісілген child селекторларын санауыштармен бірге көрсетеді, сондықтан трафик сыналғаннан кейін нөл пакетті child байланысы жіберіліп жатқанды шығарып тастайтын селекторлардың белгісі. Үш команда, үш түрлі жауап, және олардың тек біреуі ғана үнсіз түсуді түсіндіреді.

Егер қолданба әлі сәтсіздікке ұшырап жатқанда child санауыштары қозғалса, мәселе туннельдің арғы жағында. Бұл тергеуді селекторларға емес, алыс хосттың тыңдаушысына немесе брандмауэрына ауыстырады.

Екі мақсатты бөлек ұстаңыз

Кеңсе қосымша желісін қорғау және барлық шолуды қашықтағы шығыс арқылы жіберу — әртүрлі селекторлары бар әртүрлі талаптар. Біреуіне құрылған профиль екіншісіне сирек жарайды, ал оларды араластыру не ағуға, не бұзылған бөлініске әкеледі. Қорғалған ауқымды кеңейту екі шеткі нүктені және олардың жіберу саясатын өзгертуді білдіреді, өйткені біржақты өзгеріс қабылданбаған ұсынысқа айналады. Кішкене түзетуден кейін жұмыс істеп тұрған туннельдің жұмысын тоқтатуының ең көп тараған жолы осы.

Селекторлар криптографиялық қамтуды сипаттайды, маршруттар жолдарды таңдайды, ал қолданбалар өз рұқсаттарын орындатады. Барлығын қамтитын туннель де loopback-ке байланған қызметке жете алмайды, ал туннельге кіретін маршрут әлі де межені қамтитын селекторды қажет етеді. Үшеуін бір сынақ сұранысына қарсы тексеріңіз, және сәйкессіздік өзін-өзі атайды.