XFRM ಡೀಫಾಲ್ಟ್ ರೂಟ್ IKE ಮತ್ತು ESP ಅನ್ನು ನುಂಗಿತು: ಹೊರ ಪಥವನ್ನು ಉಳಿಸಿಕೊಳ್ಳಿ

ಸಂಚಾರ ರಕ್ಷಿತವಾಗಿದೆ, ಟನೆಲ್ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತಿದೆ, ನಂತರ ಮುಂದಿನ ಕೀ ನವೀಕರಣದಲ್ಲಿ ಅದು ಸಾಯುತ್ತದೆ. XFRM ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಹೋಗುವ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ನೀವು ರಕ್ಷಿಸಲು ಬಯಸಿದ ಸಂಚಾರವನ್ನು ವಿವರಿಸಿತು. ರಕ್ಷಣೆ ಮುಂದುವರಿಸಲು ಬೇಕಾದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನೂ ಅದು ನುಂಗಿತು.

ಒಳಗೊಂಡ ಎರಡು ಗಮ್ಯಸ್ಥಾನಗಳು ಪರಸ್ಪರ ವಿನಿಮಯ ಮಾಡಲಾಗದವು. ರೂಟಿಂಗ್ ಅದನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಹೇಳಬೇಕು.

ಪೀರ್ ಹುಡುಕಾಟ ವಾಸ್ತವವಾಗಿ ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ

ಸಕ್ರಿಯ ನಿಯಮಗಳು, XFRM ರೂಟ್ ಇರುವ ಕೋಷ್ಟಕ ಮತ್ತು ಪೀರ್‌ನ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು ದಾಖಲಿಸಿ. ನಂತರ ಹೊರ ಸಂಪರ್ಕವು ತನ್ನ ನಿಜವಾದ ಮೂಲ ಮತ್ತು ಮಾರ್ಕ್‌ನೊಂದಿಗೆ ಯಾವ ಪಥವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ ಎಂದು ನೋಡಿ. ಸಾಮಾನ್ಯ ಗಮ್ಯಸ್ಥಾನ ಆ ನಿಯಂತ್ರಣ ಪಥದ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ನಿಜವಾದ ಮೂಲ ಮತ್ತು ಮಾರ್ಕ್ ಮಾತ್ರ ಉಪಯುಕ್ತ ಉತ್ತರ ನೀಡುತ್ತವೆ.

ಯಶಸ್ವಿ ಆರಂಭಿಕ ಸಂಪರ್ಕವೂ ಸ್ವಲ್ಪವೇ ಸಾಬೀತು ಮಾಡುತ್ತದೆ. ರೂಟ್ ಸ್ಥಾಪನೆ ಉತ್ತರವನ್ನು ಬದಲಿಸಿದ ನಂತರ ವೈಫಲ್ಯ ಹೆಚ್ಚಾಗಿ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಆರಂಭ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ನಂತರ ಮೊದಲ ನವೀಕರಣ ಆಗುವುದಿಲ್ಲ.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

ಪೀರ್‌ನ ಹುಡುಕಾಟ XFRM ಇಂಟರ್ಫೇಸ್‌ಗೆ ಬಂದು ಸೇರಿದರೆ, ಹೊರ ಪ್ಯಾಕೆಟ್‌ಗಳು ಅವು ನಿರ್ಮಿಸುವ ಟನೆಲ್‌ಗೆ ರೂಟ್ ಆಗುತ್ತವೆ. ಅದೇ ಲೂಪ್, ಒಂದೇ ಆಜ್ಞೆಯಲ್ಲಿ ಕಾಣುತ್ತದೆ.

ಆಧುನಿಕ ಗೇಟ್‌ವೇಯಲ್ಲಿ ಹೊರಗಿಡುವ ಆಯ್ಕೆಗಳು

strongSwan ನ ರೂಟ್ ಆಧಾರಿತ VPN ಬಗೆಗಿನ ದಾಖಲೆ ಎರಡು ಪ್ರಾಯೋಗಿಕ ಉತ್ತರಗಳನ್ನು ನೀಡುತ್ತದೆ. ಒಂದು IKE ಮತ್ತು ESP ಗುರುತಿಸುತ್ತದೆ, XFRM ಕೋಷ್ಟಕಕ್ಕೆ ತೋರಿಸುವ ನಿಯಮ ಅವುಗಳಿಗೆ ಹೊಂದದಂತೆ. ಇನ್ನೊಂದು ಪೀರ್ ರೂಟ್ ಅಥವಾ ಹೊರಗಿಡುವಿಕೆಯನ್ನು ಬಿಡುತ್ತದೆ, ಹುಡುಕಾಟ ಇನ್ನೂ ಅಲ್ಲಿಗೆ ತಲುಪಬಹುದು.

ನಿಮ್ಮ ನಿಯಮಸಂಗ್ರಹ ಅಡ್ಡಪರಿಣಾಮಗಳಿಲ್ಲದೆ ವ್ಯಕ್ತಪಡಿಸಬಲ್ಲದನ್ನು ಆರಿಸಿ. ಸ್ಟಾಕ್‌ನ ಉಳಿದ ಭಾಗ ಈಗಾಗಲೇ ಮಾರ್ಕ್ ಬಳಸುತ್ತಿದ್ದರೆ ಮಾರ್ಕ್ ಸ್ವಚ್ಛ. ಅದೇ ಮಾಸ್ಕ್ ಬೇರೆ ನಿಯಮದಲ್ಲಿ ಬೇರೆ ಅರ್ಥವಿದ್ದರೆ ಅದು ಅಪಾಯ. ಎರಡೂ ಪ್ಯಾಕೆಟ್ ಪ್ರಕಾರಗಳಿಗೆ ಹೇಗಾದರೂ ಈ ಚಿಕಿತ್ಸೆ ಬೇಕು.

IKE ಮಾತ್ರ ಗುರುತಿಸಿದರೆ ಡೇಟಾ ಪ್ಯಾಕೆಟ್‌ಗಳು ಸೆರೆಯಾದ ಪಥದಲ್ಲೇ ಉಳಿಯುತ್ತವೆ. ಅದು ಕೈಹಿಡಿತ ಮಾಡಿ ನಂತರ ಏನನ್ನೂ ಸಾಗಿಸದ ಟನೆಲ್ ಅನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ.

ಮಾರ್ಕ್ ಪ್ಯಾಕೆಟ್‌ನ fwmark ನಲ್ಲಿ ಗೇಟ್‌ವೇಯಲ್ಲಿ ಬೇರೆ ಯಾವುದೂ ಹಕ್ಕು ಸಾಧಿಸದ ಒಂದು ಬಿಟ್: 0x1, ಮಾಸ್ಕ್ 0x1 ಜೊತೆಗೆ ಸಾಮಾನ್ಯ ಆಯ್ಕೆ, ಮತ್ತು ಹೊರಗಿಡುವಿಕೆ ಕೆಲಸ ಮಾಡಲು ಅದನ್ನು ಎರಡು ಕಡೆ ಹೊಂದಿಸಬೇಕು. Charon ಗೆ ಅದು IKE ಸಾಕೆಟ್‌ನಲ್ಲಿ ಬೇಕು, ಮತ್ತು ಚೈಲ್ಡ್ ಸಂಪರ್ಕದ ಒಳಬರುವ ಹಾಗೂ ಹೊರಹೋಗುವ ಮಾರ್ಕ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳಿಗೆ ಅದೇ ಮೌಲ್ಯ ಬೇಕು, ಎನ್‌ಕ್ಯಾಪ್ಸುಲೇಟೆಡ್ ಪ್ಯಾಕೆಟ್‌ಗಳೂ ಮಾರ್ಕ್ ಆಗಿ ಹೊರಡಲು. 0xffffffff ಬದಲು 0x1 ಮಾಸ್ಕ್ ಉಳಿದ ಬಿಟ್‌ಗಳನ್ನು ಮುಕ್ತವಾಗಿ ಬಿಡುತ್ತದೆ, ಅದೇ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಇನ್ನೊಂದು ಉಪವ್ಯವಸ್ಥೆ ಈಗಾಗಲೇ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಮಾರ್ಕ್ ಮಾಡುತ್ತಿದ್ದರೆ ಅದು ಮುಖ್ಯ. ಎರಡೂ ಹೊಂದಿಸಿದಾಗ, ನಿಯಮವನ್ನು ಹೊರಗಿಡುವಿಕೆ ಎಂದು ಬರೆಯಲಾಗುತ್ತದೆ, ಹೀಗಾಗಿ ಮಾರ್ಕ್ ಆದ ಪ್ಯಾಕೆಟ್‌ಗಳು XFRM ರೂಟ್ ಇರುವ ಕೋಷ್ಟಕವನ್ನು ದಾಟಿ ಮುಖ್ಯ ಕೋಷ್ಟಕಕ್ಕೆ ಬೀಳುತ್ತವೆ:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

ನಂತರ ಮಾರ್ಕ್ ಅನ್ವಯಿಸಿ ಉತ್ತರವನ್ನು ಓದಿ. ಅದಿಲ್ಲದೆ ನೀವು ರಕ್ಷಿತ ಸಂಚಾರ ಹೋಗುವ ಪಥವನ್ನು ಪರಿಶೀಲಿಸುತ್ತೀರಿ, ಅದು ಈ ವಿಭಾಗದ ಪ್ರಶ್ನೆಗೆ ವಿರುದ್ಧ.

ಸ್ವಯಂಚಾಲಿತ ಸ್ಥಾಪನೆ ನಿರ್ಮಾಣದ ಬಗ್ಗೆ ಏನನ್ನು ಊಹಿಸುತ್ತದೆ

XFRM ಇಂಟರ್ಫೇಸ್‌ಗೆ ಸ್ವಯಂಚಾಲಿತ ರೂಟ್ ಸ್ಥಾಪನೆ strongSwan ಆವೃತ್ತಿ ಮತ್ತು ಅದರ ಸಂರಚನೆಯನ್ನು ಅವಲಂಬಿಸಿದೆ. ಇಂಟರ್ಫೇಸ್ ID, ಸ್ಥಾಪಿತ ನೀತಿ ಮತ್ತು ಸಂಯೋಜನೆ ಎಲ್ಲವೂ ಉದ್ದೇಶಿತ ವಸ್ತುಗಳನ್ನು ಉಲ್ಲೇಖಿಸಬೇಕು. ಹೊಂದಾಣಿಕೆ ಇಲ್ಲದಿರುವುದು ನಿಶ್ಶಬ್ದವಾಗಿ ನಿಜವಾದ ಸ್ಥಳಕ್ಕೆ ತೋರಿಸುವ ರೂಟ್ ಆಗಿ ಕಾಣಿಸುತ್ತದೆ.

ಬೇರೆ ಗೇಟ್‌ವೇಯಿಂದ ಕೋಷ್ಟಕ ಸಂಖ್ಯೆ ಅಥವಾ ಮಾರ್ಕ್ ಮಾಸ್ಕ್ ನಕಲಿಸುವುದೇ ಘರ್ಷಣೆಗಳು ಆರಂಭವಾಗುವ ದಾರಿ. ಮೊದಲು ಅದನ್ನು ಈಗಾಗಲೇ ಏನು ಬಳಸುತ್ತಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಘರ್ಷಣೆ ನೀವು ಬದಲಿಸಲು ಬಯಸಿದ ಟನೆಲ್‌ಗಿಂತ ಬಹಳ ದೂರದ ಸಂಚಾರದ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ, ಮತ್ತು ಲಕ್ಷಣ ಅಪರೂಪವಾಗಿ ನಕಲಿಗೆ ತೋರಿಸುತ್ತದೆ.

ಪೀರ್ ವಿಳಾಸದ ಬದಲಾವಣೆಗಳು ವಿನ್ಯಾಸದ ಭಾಗ. ನಿನ್ನೆಯ ವಿಳಾಸಕ್ಕೆ ಹೋಸ್ಟ್ ರೂಟ್ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಚೇತರಿಕೆ ಯೋಜನೆ ಅಲ್ಲ, ಆದರೆ ಮಾರ್ಕ್ ಆ ಬದಲಾವಣೆಯನ್ನು ಬದುಕುತ್ತದೆ.

ಮೊದಲ ನವೀಕರಣವನ್ನು ಗಮನಿಸಿ

ರಕ್ಷಿತ ರೂಟ್‌ಗಳು ಸ್ಥಾಪನೆಯಾದ ನಂತರ ಹೊರ ಪಥವನ್ನು ಪರಿಶೀಲಿಸಿ, ಮೊದಲು ಅಲ್ಲ. ನಂತರ ಮುಂದಿನ ನವೀಕರಣ ಮತ್ತು ಒಂದು ಅಪ್ಲಿಕೇಶನ್ ವಿನಿಮಯವನ್ನು ಗಮನಿಸಿ. ವೈಫಲ್ಯ ಸಾಮಾನ್ಯವಾಗಿ ಆ ಪರಿವರ್ತನೆಯಲ್ಲಿ ಕಾಣಿಸುತ್ತದೆ, ಆರಂಭದಲ್ಲಿ ಅಲ್ಲ.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

ರಕ್ಷಿತ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ತಾತ್ಕಾಲಿಕವಾಗಿ ತೆಗೆದರೆ ಸಾಮಾನ್ಯವಾಗಿ ಸಂಪರ್ಕ ಮರುಸ್ಥಾಪನೆಯಾಗುತ್ತದೆ. ಆ ಫಲಿತಾಂಶ ರೋಗನಿರ್ಣಯಾತ್ಮಕ, ಅಂತಿಮವಲ್ಲ.

ಗುರಿ ಒಳಗಿನ ಸಂಚಾರ ಮತ್ತು ಅದನ್ನು ಸಾಗಿಸುವ ಹೊರ ಪ್ಯಾಕೆಟ್‌ಗಳ ನಡುವೆ ಸ್ಥಿರ ವಿಭಜನೆ. ಆಯ್ಕೆ ಮಾಡಿದ ಕಾರ್ಯವಿಧಾನ ಮತ್ತು ಅದರ ಕೋಷ್ಟಕ ಅಥವಾ ಮಾರ್ಕ್ ಅನ್ನು ಗೇಟ್‌ವೇ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಬರೆಯಿರಿ. ಇಲ್ಲದಿದ್ದರೆ ನಿಯಮಗಳನ್ನು ಮುಟ್ಟುವ ಮುಂದಿನ ವ್ಯಕ್ತಿ ಲೂಪ್ ಅನ್ನು ಮತ್ತೆ ತರುತ್ತಾನೆ.