IPsec ಟ್ರಾಫಿಕ್ ಸೆಲೆಕ್ಟರ್‌ಗಳು: ಅವು ಏನನ್ನು ಆವರಿಸುತ್ತವೆ ಮತ್ತು ಏನನ್ನು ಆವರಿಸುವುದಿಲ್ಲ

ಟ್ರಾಫಿಕ್ ಸೆಲೆಕ್ಟರ್‌ಗಳು IPsec ಒಪ್ಪಂದವು ರಕ್ಷಿಸುವ ಒಳಗಿನ ಟ್ರಾಫಿಕ್‌ಗೆ ಹೆಸರು ನೀಡುತ್ತವೆ, ಮತ್ತು ಜೋಡಿಯನ್ನು ಊಹಿಸುವುದಿಲ್ಲ, ಮಾತುಕತೆಯಿಂದ ನಿರ್ಧರಿಸಲಾಗುತ್ತದೆ. ಎರಡು ತುದಿಗಳು ಪರಸ್ಪರ ಸಂಪೂರ್ಣವಾಗಿ ದೃಢೀಕರಿಸಬಹುದು ಮತ್ತು ಯಾವ ಪ್ಯಾಕೆಟ್‌ಗಳು ಸುರಂಗದ ಒಳಗೆ ಸೇರುತ್ತವೆ ಎಂಬುದರಲ್ಲಿ ಇನ್ನೂ ಭಿನ್ನಾಭಿಪ್ರಾಯ ಹೊಂದಬಹುದು. ಆ ಭಿನ್ನಾಭಿಪ್ರಾಯ ಸಂಪರ್ಕ ಸ್ಥಿತಿಯಲ್ಲಿ ಕಾಣುವುದಿಲ್ಲ, ಅದು ಸಾಮಾನ್ಯವಾಗಿ ಆರೋಗ್ಯಕರ ಸುರಂಗವನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ. ಸೆಲೆಕ್ಟರ್‌ಗಳನ್ನು ಎರಡೂ ತುದಿಗಳಿಂದ ಓದಿ ನಂತರ ಒಂದು ಗಮ್ಯಸ್ಥಾನವನ್ನು ಅನುಸರಿಸುವುದು ಯಾವುದೇ ನೀತಿ ಸಂಪಾದನೆಗಿಂತ ಬೇಗ ಅದನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತದೆ.

ಅವುಗಳನ್ನು ಎರಡೂ ತುದಿಗಳಿಂದ ಓದಿ

ಪ್ರತಿ ತುದಿಯೂ ತನ್ನ ಬದಿಯನ್ನು ಸ್ಥಳೀಯ ಎಂದು ಮತ್ತು ಇನ್ನೊಂದು ಬದಿಯನ್ನು ದೂರದ ಎಂದು ವಿವರಿಸುತ್ತದೆ. ಆದ್ದರಿಂದ ಅದೇ ಪೂರ್ವಪ್ರತ್ಯಯ ಜೋಡಿ ಎರಡು ಸಂರಚನೆಗಳಲ್ಲಿ ಅದಲುಬದಲಾಗಿ ಕಾಣುತ್ತದೆ, ಮತ್ತು ಅದು ಸರಿ, ವಿರೋಧಾಭಾಸವಲ್ಲ. ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಒಪ್ಪಂದ ಕಾಗದದ ಮೇಲೆ ತಪ್ಪಾಗಿ ಕಾಣಿಸಿದಾಗ ದೃಷ್ಟಿಕೋನವನ್ನು ತಿರುಗಿಸುವುದು ಮೊದಲ ಕೆಲಸ. ಎರಡು ಕಡತಗಳನ್ನು ಅದಲುಬದಲು ಮಾಡದೆ ಅಕ್ಕಪಕ್ಕ ಹೋಲಿಸುವುದು ಇಲ್ಲದ ಅಸಂಗತಿಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.

ಮೌಲ್ಯಗಳು ಯಾವಾಗಲೂ ಏಕ ಉಪಜಾಲಗಳಲ್ಲ. IKEv2 ಸೆಲೆಕ್ಟರ್‌ಗಳು ವಿಳಾಸ ಶ್ರೇಣಿಗಳು, ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆಗಳು ಮತ್ತು ಪೋರ್ಟ್ ಶ್ರೇಣಿಗಳನ್ನು ಒಯ್ಯಬಹುದು, ಮತ್ತು ಹೀಗೆ ನೀತಿ ಇಡೀ ಜಾಲದ ಬದಲು ಒಂದು ಸೇವೆಯನ್ನು ರಕ್ಷಿಸುತ್ತದೆ. ಉದ್ದೇಶಿತ ಟ್ರಾಫಿಕ್‌ಗಿಂತ ಸಂಕುಚಿತ ಸೆಲೆಕ್ಟರ್ ಕೆಲವು ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಒಯ್ಯುವ ಮತ್ತು ಉಳಿದವನ್ನು ಸದ್ದಿಲ್ಲದೆ ಹೊರಗಿಡುವ ಸುರಂಗವನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.

ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಎರಡೂ ಬದಿಗಳನ್ನು ಒಂದೇ ಕೋಷ್ಟಕದಲ್ಲಿ ಬರೆಯಿರಿ. ಈ ಅಭ್ಯಾಸ ಸಾಮಾನ್ಯವಾಗಿ ಸಂರಚನಾ ಕಡತವನ್ನು ಮುಟ್ಟದೆಯೇ ಪ್ರಶ್ನೆಯನ್ನು ಇತ್ಯರ್ಥಪಡಿಸುತ್ತದೆ.

ಸಂಕುಚಿಸುವುದು ಪ್ರತಿಸ್ಪಂದಕನ ನಿರ್ಧಾರ

ಪ್ರಾರಂಭಕ ಪ್ರಸ್ತಾಪ ಮಾಡುತ್ತಾನೆ, ಮತ್ತು ಪ್ರತಿಸ್ಪಂದಕ ಕೇವಲ ಉಪಗಣವನ್ನು ಸ್ವೀಕರಿಸಬಹುದು. IKEv2 ಪ್ರಸ್ತಾಪಿಸಿದ ಟ್ರಾಫಿಕ್ ಸೆಲೆಕ್ಟರ್‌ಗಳನ್ನು ಸಂಕುಚಿಸಲು ಪ್ರತಿಸ್ಪಂದಕನಿಗೆ ಅನುಮತಿ ನೀಡುತ್ತದೆ, ಮತ್ತು ಸಂಕುಚಿತ ಫಲಿತಾಂಶವೇ ನಿಜವಾಗಿ ಸ್ಥಾಪನೆಯಾಗುವುದು. ಆದ್ದರಿಂದ ಪ್ರಾರಂಭಕನ ಸಂರಚನೆಯನ್ನು ಓದುವುದು ಪ್ರಸ್ತಾಪವನ್ನು ವಿವರಿಸುತ್ತದೆ, ಒಪ್ಪಂದವನ್ನಲ್ಲ.

ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್‌ಗೆ ಸೇರಿಸಿದ ಉಪಜಾಲವು ಕೆಲಸ ಮಾಡುವ ಸುರಂಗವನ್ನು ಸೃಷ್ಟಿಸಿ ಹೊಸ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಇನ್ನೂ ನಿರಾಕರಿಸಬಹುದು. ಸರ್ವರ್ ಪ್ರಸ್ತಾಪವನ್ನು ತನ್ನ ನೀತಿ ಅನುಮತಿಸುವ ಮಟ್ಟಕ್ಕೆ ಸಂಕುಚಿಸಿತು, ಆದರೆ ಕ್ಲೈಂಟ್‌ನ ಕಡತ ಇನ್ನೂ ವಿಶಾಲ ಶ್ರೇಣಿಯನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ಮಾತುಕತೆಯಾದ ಸ್ಥಿತಿ ಮಾತ್ರ ಸತ್ಯವನ್ನು ತೋರಿಸುತ್ತದೆ: Linux ನಲ್ಲಿ ip xfrm policy ಮತ್ತು strongSwan ನ IKEv2 ದಸ್ತಾವೇಜಿನಲ್ಲಿ child SA ಪಟ್ಟಿ ಕೇಳಿದ್ದನ್ನು ಅಲ್ಲ, ಸ್ಥಾಪಿಸಿದ್ದನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ. ಎರಡೂ ಭಿನ್ನವಾದಾಗ, ಬದಲಿಸಬೇಕಾದದ್ದು ಪ್ರತಿಸ್ಪಂದಕನ ನೀತಿ.

ನಿರಾಕರಿಸಿದ ಪ್ರಸ್ತಾಪ ಸಂಕುಚಿತ ಪ್ರಸ್ತಾಪಕ್ಕಿಂತ ಬೇರೆ ಲಕ್ಷಣ. ನಿರಾಕರಣೆ ಮಾತುಕತೆ ದಾಖಲೆಯಲ್ಲಿ ಕಾಣಿಸುತ್ತದೆ ಮತ್ತು ಯಾವುದೇ child ಸಂಬಂಧವನ್ನೂ ಬಿಡುವುದಿಲ್ಲ.

ಒಂದು ಗಮ್ಯಸ್ಥಾನವನ್ನು ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ಅನುಸರಿಸಿ

ಕ್ಲೈಂಟ್ ಬಳಸುವ ನಿಜವಾದ ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಅದಕ್ಕೆ ಬಳಸುವ ಮೂಲ ವಿಳಾಸವನ್ನು ಆರಿಸಿ, ನಂತರ ಆ ಜೋಡಿಯನ್ನು ಮೂರು ಸ್ವತಂತ್ರ ನಿರ್ಧಾರಗಳ ಮೂಲಕ ಕಳುಹಿಸಿ. ಮಾರ್ಗವು ದಾರಿಯನ್ನು ಆರಿಸುತ್ತದೆ, ಸೆಲೆಕ್ಟರ್ ಆ ದಾರಿ ರಕ್ಷಿತವೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಫೈರ್‌ವಾಲ್ ಪ್ಯಾಕೆಟ್ ಅನುಮತಿಸಲಾಗಿದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಪ್ರತಿಯೊಂದೂ ತನ್ನಷ್ಟಕ್ಕೇ ವಿಫಲವಾಗಬಹುದು, ಮತ್ತು ವಿಶಾಲ ಸೆಲೆಕ್ಟರ್ ಉಳಿದ ಯಾವುದನ್ನೂ ಸರಿಪಡಿಸುವುದಿಲ್ಲ.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

ಮಾರ್ಗ ಪ್ರಶ್ನೆ ಪ್ಯಾಕೆಟ್ ಒಯ್ಯುವ ಇಂಟರ್‌ಫೇಸ್ ಮತ್ತು ಮೂಲ ವಿಳಾಸವನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ನೀತಿ ಪಟ್ಟಿ ಆ ಜೋಡಿಗೆ ಹೊಂದುವ ಸುರಂಗ ನೀತಿ ಇದೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಅದರ ದಿಕ್ಕು ಮತ್ತು ಮಟ್ಟ ಸೇರಿದಂತೆ. SA ಪಟ್ಟಿ ಮಾತುಕತೆಯಾದ child ಸೆಲೆಕ್ಟರ್‌ಗಳನ್ನು ಎಣಿಕೆಗಳೊಂದಿಗೆ ತೋರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಟ್ರಾಫಿಕ್ ಪ್ರಯತ್ನಿಸಿದ ನಂತರ ಶೂನ್ಯ ಪ್ಯಾಕೆಟ್‌ನ child ಸಂಬಂಧ ಕಳುಹಿಸುತ್ತಿರುವುದನ್ನು ಹೊರಗಿಡುವ ಸೆಲೆಕ್ಟರ್‌ಗಳ ಸಹಿ. ಮೂರು ಆದೇಶಗಳು, ಮೂರು ಬೇರೆ ಉತ್ತರಗಳು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದೇ ಮಾತ್ರ ಮೌನ ಬೀಳುವಿಕೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ.

ಅಪ್ಲಿಕೇಶನ್ ಇನ್ನೂ ವಿಫಲವಾಗುತ್ತಿರುವಾಗ child ಎಣಿಕೆಗಳು ಚಲಿಸಿದರೆ, ಸಮಸ್ಯೆ ಸುರಂಗದ ಆಚೆ. ಅದು ತನಿಖೆಯನ್ನು ಸೆಲೆಕ್ಟರ್‌ಗಳಿಗಲ್ಲ, ದೂರದ ಹೋಸ್ಟ್‌ನ ಶ್ರೋತ ಅಥವಾ ಫೈರ್‌ವಾಲ್‌ಗೆ ಸರಿಸುತ್ತದೆ.

ಎರಡು ಗುರಿಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿಡಿ

ಕಚೇರಿ ಉಪಜಾಲವನ್ನು ರಕ್ಷಿಸುವುದು ಮತ್ತು ಎಲ್ಲಾ ಬ್ರೌಸಿಂಗ್ ಅನ್ನು ದೂರದ ನಿರ್ಗಮನದ ಮೂಲಕ ಕಳುಹಿಸುವುದು ಬೇರೆ ಸೆಲೆಕ್ಟರ್‌ಗಳಿರುವ ಬೇರೆ ಅಗತ್ಯಗಳು. ಒಂದಕ್ಕೆ ನಿರ್ಮಿಸಿದ ಪ್ರೊಫೈಲ್ ಇನ್ನೊಂದಕ್ಕೆ ಅಪರೂಪವಾಗಿ ಹೊಂದುತ್ತದೆ, ಮತ್ತು ಎರಡನ್ನೂ ಬೆರೆಸಿದರೆ ಸೋರಿಕೆ ಅಥವಾ ಮುರಿದ ವಿಭಜನೆ. ರಕ್ಷಿತ ಶ್ರೇಣಿಯನ್ನು ವಿಸ್ತರಿಸುವುದು ಎರಡೂ ತುದಿಗಳನ್ನು ಮತ್ತು ಅವುಗಳ ಮುಂದೆ ಒಯ್ಯುವ ನೀತಿಯನ್ನು ಬದಲಿಸುವುದು ಎಂದರ್ಥ, ಏಕೆಂದರೆ ಏಕಪಕ್ಷೀಯ ಬದಲಾವಣೆ ನಿರಾಕರಿಸಿದ ಪ್ರಸ್ತಾಪವಾಗುತ್ತದೆ. ಸಣ್ಣ ಸಂಪಾದನೆಯ ನಂತರ ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಸುರಂಗ ಕೆಲಸ ನಿಲ್ಲಿಸುವ ಸಾಮಾನ್ಯ ದಾರಿ ಇದೇ.

ಸೆಲೆಕ್ಟರ್‌ಗಳು ಗೂಢಲಿಪಿ ಹೊದಿಕೆಯನ್ನು ವಿವರಿಸುತ್ತವೆ, ಮಾರ್ಗಗಳು ದಾರಿಗಳನ್ನು ಆರಿಸುತ್ತವೆ, ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್‌ಗಳು ತಮ್ಮದೇ ಅನುಮತಿಗಳನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತವೆ. ಎಲ್ಲವನ್ನೂ ಆವರಿಸುವ ಸುರಂಗವೂ loopback ಗೆ ಬದ್ಧವಾದ ಸೇವೆಯನ್ನು ತಲುಪಲಾರದು, ಮತ್ತು ಸುರಂಗದೊಳಗೆ ಹೋಗುವ ಮಾರ್ಗಕ್ಕೆ ಇನ್ನೂ ಗಮ್ಯಸ್ಥಾನ ಸೇರಿಸುವ ಸೆಲೆಕ್ಟರ್ ಬೇಕು. ಮೂರನ್ನೂ ಒಂದೇ ಪರೀಕ್ಷಾ ವಿನಂತಿಗೆ ಎದುರಾಗಿ ಪರಿಶೀಲಿಸಿ, ಮತ್ತು ಅಸಂಗತಿ ತನ್ನ ಹೆಸರನ್ನು ತಾನೇ ಹೇಳುತ್ತದೆ.