Бірнеше қосымша желісі бар IPsec қайтару трафигін жоғалтады? reqid санаңыз

Трафик бір алаңнан шығып, ешқашан қайта оралмайды, екі шлюз де аяқталған келіссөз туралы хабарлайды, ал жалғыз белгі — жауапсыз шығыс пакеттердің үйіндісі. Linux шеткі нүктесінде әдеттегі себеп шифрлау күші, MTU немесе маршруттау кестесі емес. Бұл саясат жазбаларының ұсақтығы және әр саясатты қауіпсіздік ассоциациясымен байланыстыратын нөмір. Төмендегі процедура басқа нәрсеге қол тигізбес бұрын осы екі дерекқорды оқиды.

Бірдеңені өзгертер алдында симптомды ажыратыңыз

Аяқталған IKE келіссөзімен бір бағытты ақау мәселені деректер жолына дейін тарылтады. Не шығыс саясаты сәйкес келіп, жауап тасталды, не жауап мүлдем келмеді, өйткені қарсы тарапта оны жіберетін ештеңе болмады. Қолданба үшін екі жағдай бірдей көрінеді, ал xfrm дерекқорлары оларды ажыратады.

MTU-дан бастамаңыз. Қате MTU тоқыраулар мен фрагментация симптомдарын береді, өсіп келе жатқан шығыс санауыштарымен таза бағыт бөлінуін емес.

Саясат дерекқорын және күй дерекқорын оқыңыз

Linux-та шифрлауды саясат жазбалары шешеді, сондықтан сәйкес саясат, маршрут емес, пакетті туннельге кіргізеді. Әр жазбаның селекторларын, бағытын, басымдығын және үлгісін көру үшін ip xfrm policy, орнатылған ассоциацияларды олардың reqid-лерімен көру үшін ip xfrm state іске қосыңыз. Саясат пен ассоциация осы reqid арқылы байланысады.

Үш бағыттың барлығына қараңыз. Шығыс және кіріс осы хостқа және одан трафикті қамтиды; қайта бағыттау бағыты хост басқалар үшін маршруттағанда маңызды. Бір бағытта жоқ немесе сәйкеспейтін жазба ешқандай криптографиялық ақаусыз бір бағытты нәтижені түсіндіреді.

Классикалық асимметрия: бірнеше ішкі желі үшін бір reqid

Жиі кездесетін ақау барлық келісілген ішкі желілердің саясаттарын бір reqid астына орнататын серіктестен келеді, бұл racoon-ның generate_policy require кезінде болады. Содан кейін трафик соңғы орнатылған ассоциация арқылы шығады, ал қарсы тарап әр ішкі желі үшін жеке ассоциация ұстайды. Жауаптар reqid-і оларды қабылдауға тиіс саясатты көрсетпейтін ассоциацияға келеді, ал ядро оларды дешифрлаудан кейін тастайды.

Түзету — конфигурацияны өзгерту, қорғаныс қабырғасының ережесі емес: generate_policy unique; әр саясатқа өз reqid-ін береді, сондықтан серіктестің саясат бойынша ассоциацияларының сәйкес серіктестері болады. Оны қолданыңыз, қайта келіссөз жүргізіңіз және табыс жарияламас бұрын күтілетін ішкі желілер үшін әртүрлі reqid-лерді санаңыз.

Егер екі ішкі желі әлі де бір reqid бөліссе, ал қарсы тарап екеуін күтсе, сіз асимметрияны таптыңыз. Сәйкестікті жазып қойыңыз, өйткені бұл келесі өзгеріс оны түзеткенін немесе сақтағанын дәлелдейді.

Селекторлар конфигурацияңыздан емес, келіссөзден келеді

Қорғалған ауқымдар бір тарап сұраған емес, екі ұшы келіскен ауқымдар. Кең қашықтағы ауқымға қарсы хост жұбын ұсынатын клиент шлюздің тарылтылған нұсқасын алады және клиент оны кеңейте алмайды. Жергілікті файлыңыздағы селекторлардың орнына орнатылған селекторларды оқыңыз.

Мақсат керісінше болғанда, яғни бір тағайындалымды туннельден тыс ұстау керек болса, автоматты орнатылған жазбаны жеңу үшін басымдық нөмірі төменірек айналып өту саясатын қосыңыз. Үлгісіз саясат ашық мәтінге рұқсат береді, бұл оны жөндеу қадамы емес, өзгерістер журналы үшін әдейі жасалған ерекшелік етеді.

Осы тәртіппен тексеріңіз және қалай кері қайтаруды біліңіз

Әр ішкі желі үшін саясаттарды екі бағытта тізімдеңіз, хост маршруттаса қайта бағыттау бағытын қоса. Әртүрлі reqid-лерді санаңыз және күтіп тұрған тарапта әр саясатқа бір-бірден екенін растаңыз. Орнатылған селекторларды келісілгендермен салыстырыңыз. Кілтті жаңартқаннан кейін ассоциация бойынша санауыштарды қайта оқыңыз, өйткені тексерген ассоциацияңыз әлдеқашан кеткен болуы мүмкін. Маршруттарды соңында тексеріңіз, өйткені қашықтағы ішкі желіге маршруттың болмауы таза саясат санауыштарымен ұқсас бір бағытты симптом береді.

Серіктесті өзгертер алдында екі xfrm командасының ағымдағы шығысын сақтаңыз. Егер жаңа параметр қайтару бағытын қалпына келтірмесе, сол шығысты қалпына келтіру туннельді жадтан қайта құрудан гөрі жылдамырақ кері қайтару болып табылады және салыстыруды адал ұстайды.