XFRM әдепкі маршруты IKE мен ESP-ні жұтып қойды: сыртқы жолды сақтаңыз

Барлығын қорғайтын саясат туннельді ұстап тұрған пакеттерді де ұстап қалуы мүмкін. IKE мен ESP-ге белгі қойыңыз немесе теңдестік маршрутын қалдырыңыз.

Трафик қорғалған, туннель жұмыс істеп тұр, содан кейін ол келесі кілт жаңартуында өледі. XFRM интерфейсі арқылы өтетін әдепкі маршрут қорғағыңыз келген трафикті сипаттады. Ол қорғауды жалғастыру үшін қажет пакеттерді де жұтып қойды.

Қатысатын екі меже бірін-бірі алмастыра алмайды. Маршруттау мұны анық айтуы керек.

Теңдестік іздеуі шын мәнінде қайда барады

Белсенді ережелерді, XFRM маршруты бар кестені және теңдестіктің ашық мекенжайын жазып алыңыз. Содан кейін сыртқы қосылымның нақты көзі мен белгісімен қандай жол жүретінін қараңыз. Жалпы меже осы басқару жолы туралы ештеңе айтпайды. Тек нақты көз бен белгі ғана пайдалы жауап береді.

Сәтті бастапқы қосылым да аз дәлелдейді. Ақау көбінесе маршрут орнату жауапты өзгерткеннен кейін пайда болады. Іске қосу сәтті өтеді, содан кейін бірінші жаңарту өтпейді.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Егер теңдестік іздеуі XFRM интерфейсіне түссе, сыртқы пакеттер өздері салатын туннельге бағытталады. Бұл — бір командамен көрінетін цикл.

Заманауи шлюздегі шығару опциялары

strongSwan маршрутқа негізделген VPN туралы құжаттамасы екі практикалық жауап ұсынады. Біреуі IKE мен ESP-ге белгі қояды, XFRM кестесіне сілтейтін ереже оларға сәйкес келмеуі үшін. Екіншісі іздеу әлі жете алатын теңдестік маршрутын немесе шығаруды қалдырады.

Ереже жиынтығыңыз жанама әсерсіз білдіре алатынын таңдаңыз. Белгі стектің қалғаны белгілерді қолданып жатса, таза. Бір маска басқа ережеде басқа нәрсені білдірсе, ол қауіпті. Пакеттердің екі түрі де бәрібір осы өңдеуді қажет етеді.

Тек IKE-ге белгі қою деректер пакеттерін ұсталған жолда қалдырады. Бұл қол алысуды орындап, содан кейін ештеңе тасымайтын туннель жасайды.

Белгі — пакеттің fwmark ішіндегі шлюзде басқа ешкім талап етпейтін бір бит: 0x1, 0x1 маскасымен әдеттегі таңдау, және шығару жұмыс істеуі үшін оны екі жерде орнату керек. Charon оны IKE сокетінде қажет етеді, ал ішкі қосылымның кіріс және шығыс белгі параметрлеріне сол мән керек, инкапсуляцияланған пакеттер де белгіленіп шығуы үшін. 0xffffffff орнына 0x1 маскасы қалған биттерді бос қалдырады, бұл сол хостта басқа ішкі жүйе пакеттерге белгі қойып жатса маңызды. Екеуі де орнатылса, ереже шығару ретінде жазылады, сондықтан белгіленген пакеттер XFRM маршруты бар кестені аттап өтіп, негізгі кестеге түседі:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Содан кейін жауапты белгі қолданылған күйде оқыңыз. Онсыз сіз қорғалған трафик жүретін жолды тексересіз, бұл осы бөлімнің сұрағына керісінше.

Автоматты орнату құрылыс туралы нені болжайды

XFRM интерфейсі үшін автоматты маршрут орнату strongSwan нұсқасына және оның конфигурациясына байланысты. Интерфейс ID-і, орнатылған саясат және ассоциация — барлығы көзделген нысандарға сілтеуі керек. Сәйкессіздік тыныш түрде нақты бір жерге сілтейтін маршрут ретінде көрінеді.

Кесте нөмірін немесе белгі маскасын басқа шлюзден көшіру — қақтығыстардың басталу жолы. Алдымен оны ненің қолданып жатқанын тексеріңіз. Қақтығыс өзгертуді көздеген туннельден әлдеқайда алыс трафикке әсер етеді, ал симптом көбінесе көшірмеге сілтемейді.

Теңдестік мекенжайының өзгерістері дизайнға кіреді. Кешегі мекенжайға арналған хост маршруты соңғы нүктені қалпына келтіру жоспары емес, ал белгі бұл өзгеріске төтеп береді.

Бірінші жаңартуды бақылаңыз

Сыртқы жолды қорғалған маршруттар орнатылғаннан кейін тексеріңіз, бұрын емес. Содан кейін келесі жаңартуды және бір қолданба алмасуын бақылаңыз. Ақау әдетте сол ауысуда пайда болады, іске қосуда емес.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Қорғалған әдепкі маршрутты уақытша алып тастау әдетте қосылымды қалпына келтіреді. Бұл нәтиже диагностикалық, түпкілікті емес.

Мақсат — ішкі трафик пен оны тасымалдайтын сыртқы пакеттер арасындағы тұрақты бөлу. Таңдалған механизмді және оның кестесін немесе белгісін шлюз жазбаларына жазыңыз. Әйтпесе ережелерге қол тигізетін келесі адам циклді қайта енгізеді.

Қатысты мақалалар