IPsec қауіпсіздік саясаты неге маршруттау кестесінің жазбасы емес
Жұмыс істейтін маршрут IPsec туралы ештеңені дәлелдемейді. Бір ағын үшін маршрут іздеуін және саясат селекторларын оқып, содан кейін ассоциация оны қамтитынын растаңыз.
Туннель арқылы 10.20.0.5-ке ping жіберіңіз және ештеңе қайтпайды, ал маршруттау кестесі бұл қосымша желіге қол жеткізуге болады деп тұрып алады. Маршруттау мен IPsec әртүрлі сұрақтарға жауап береді және олардың тек біреуі қолжетімділік туралы. Ілгері іздеу жолды таңдайды, содан кейін қауіпсіздік саясатының дерекқоры сол жолды қорғау керек пе, сол күйінде қалдыру керек пе әлде қабылдамау керек пе екенін шешеді. Екеуі келіспегенде пакет үнсіз өледі, сондықтан оларды осы ретпен оқыңыз.
Кестеден емес, іздеуден бастаңыз
Ядродан оның шын мәнінде не істейтінін сұраңыз: ip route get 10.20.0.5 таңдалған маршрутты, шығыс интерфейсті және пайдаланатын бастау мекенжайын басып шығарады. Префикс, саясат ережесі, белгі немесе артық көрілген бастау осы жауапты өзгерте алады, сондықтан тірі іздеу кестені көзбен оқудан артық.
Қорғалған ауқымның ішіндегі межелі орынды тексеріңіз, шлюз мекенжайын емес. Арғы жақтағы шлюзге жету қандай да бір маршруттың бар екенін ғана дәлелдейді; ол сізге шын мәнінде қажет қосымша желі туралы ештеңе айтпайды. Содан кейін іздеу таңдаған интерфейстің туннель пайдаланады деп күткен интерфейс екенін растаңыз.
Селекторларды екі жақта сәйкестендіріңіз
Саясат дерекқорының өз жазбалары бар және әрқайсысы бағытты, бастауды, межелі орынды және хаттаманы атайды, содан кейін сәйкес келетін пакеттерге не істеу керегін айтады. Оларды тізімдеу үшін ip xfrm policy пайдаланыңыз; жалаушалар әрекеттің қорғау, айналып өту немесе блоктау екенін көрсетеді. Селекторлары сынақ ағынынан кең немесе тар саясат оған сәйкес келмейді және пакет қорғалмай шығады. Бұл сіз іздеп жүрген ақау, жоғалған маршрут емес.
Нақты мәндерді салыстырыңыз: бастау, межелі орын, хаттама және порттар. Егер іздеу бір мекенжай жұбын шешсе, ал саясат жазбасы басқасын қамтыса, екі көрініс әртүрлі трафикті сипаттайды. Қорытынды жасамас бұрын екеуін де сол кортежбен қайта іске қосыңыз, әйтпесе жолда ешқашан болмаған саясатты өңдейсіз.
Саясаттың сәйкестігі — орнатылған күй емес
Сәйкес саясат пакетті қорғау керегін ғана айтады; қорғауды орындау үшін ядроға әлі де қауіпсіздік ассоциациясы қажет. Оларды ip xfrm state арқылы, немесе келіссөзді strongSwan жүргізсе swanctl --list-sas арқылы тізімдеп, әр жазбаның селекторлары мен санағыштарын оқыңыз.
Саясат сәйкес келіп, ешбір ассоциация сол селекторларды қамтымаса, пакет ашық мәтінмен жіберілудің орнына тасталады. Туннель қосулы болып, бір қосымша желі істен шыққанда іздеу керек тастау — осы. Санағыштар қалғанын айтады: ешқашан өспейтін ассоциация ешқашан таңдалмаған, ал өсіп, соған қарамастан тастаумен аяқталатыны алыс жақты нұсқайды. Селекторларды түзету мен кілттерді жаңарту — әртүрлі жөндеулер, сондықтан конфигурацияға тимес бұрын қайсысы керегін шешіңіз.
Маршрутқа негізделген туннель әлі де талап ететін нәрсе
XFRM интерфейсі туннельді маршруттауға болатын құрылғыға ұқсатады, бұл шынымен пайдалы. Ол пакет сонда жеткеннен кейін не болатынын шешетін саясат пен күйді жоймайды. Маршрут келесі секірісті береді, одан артық емес.
Егер құрылғы бар болып, маршрут оған бағытталса, бірақ ешбір ассоциация ішкі селекторларға сәйкес келмесе, пакет жойылады және маршруттарды қанша өңдесеңіз де кілттер немесе селекторлар пайда болмайды. Интерфейсті маршруттаған бастау және межелі орынмен тексеріп, содан кейін оны күйлер тізімімен салыстырыңыз.
Бірдеңені өңдеу алдында меншікті анықтаңыз
Хосттың желіаралық қалқаны екі дерекқордың ешқайсысы білмейтін үшінші шешімді қосады. Дұрыс маршрут пен сәйкес саясат пен орнатылған ассоциация бәрібір тасталған пакетпен аяқталуы мүмкін және қолданба тек уақыттың бітуін хабарлайды. IPsec-ті кінәламас бұрын желіаралық қалқанның қорғалған трафикке рұқсат беретінін растаңыз. Туннель құрылғысында және физикалық интерфейсте ұстау шифрлаудың қай жағында пакет жоғалғанын көрсетеді.
Конфигурацияның меншігі түзетуіңіздің қайта жүктеуден кейін сақталатынын шешеді. Бір компонент күйді орната алады, ал екіншісі маршруттарды басқарады, екіншісіне қолмен енгізілген өзгеріс туннель келесі рет көтерілгенде қайта жазылады. Меншік конфигурацияны өзгертіп, содан кейін екі көріністі қайта оқыңыз; RFC 4301 бұл бөліністі біреуге түсіндіру қажет болғанда екі дерекқорды бөлек ұстайды.