IPsec саясаты жергиликтүү трафигиңизди жутуп жатат: аны кантип таануу керек

Стол үстүндөгү принтер туннель көтөрүлгөн учурда жооп берүүнү токтотот, ал эми туннель конфигурациясында принтер жөнүндө эч нерсе айтылбайт. Адатта корголгон диапазон аны камтый тургандай кенен жазылган, ошондуктан машина азыр жергиликтүү сегментте калышы керек болгон трафикти шифрлөөгө аракет кылат. Орнотулган саясатты окуу кармоону түшүндүрөт; аны туура жерде куушуртуу алыскы трафикти корголгон бойдон сактайт. Ийгиликсиз сурамдан дал келген саясатка чейинки жол бир нече мүнөт алат.

Селекторду өзгөртүүдөн мурун агымды байкаңыз

Ийгиликсиз сурамдан баштап төрт маанини жазыңыз: машина колдонгон башат дареги, так дарек, өзөк тандаган маршрут жана ошол жупка туура келген саясат.

Бул төрт факт кармоонун атайын же кокустан болгонун чечет. Алыскы селектордун ичине түшкөн дарек долбоор боюнча корголот, долбоор туура эмес болгон күндө да. Анын сыртында болуп, баары бир кармалган дарек башка нерсе дал келгенин билдирет жана селекторду өзгөртүү жардам бербейт. Эки учур тең кеңири таралган жана аларды бир буйрук ажыратат.

Муну бир нерсени оңдоодон мурун жасаңыз, анткени кызыктуу учур байланыш коргогон жеке диапазон менен кабатташкан жергиликтүү кошумча тармак. 192.168.0.0/16 сыяктуу тааныш префикстер көп тармактарда кездешет жана алардын бири үчүн жазылган селектор сиздикини байкатпай камтышы мүмкүн.

Башкача алып жүргөн үч жергиликтүү түр

Бул хостко дайындалган дарек, ошол эле байланыштагы дарек жана башка интерфейстин артындагы дарек — үч башка учур. Өзөк трафикке коргоо керекпи же жокпу деп чечкенде алардын ар бирин өзүнчө карайт.

Шлюз өзү жараткан трафик да кардардан өткөрүлгөн трафик менен бирдей эмес. Өткөрүлгөн трафик үчүн туура көрүнгөн саясат шлюздун өз башкаруу сессиясын кармап калышы мүмкүн, ошентип администратор туннелди оңдоп жатканда кирүү укугун жоготот.

Пайдалуу адат — учурду үн чыгарып атоо: бул пакет менден келеби, менин байланышыма барабы же менден өтөбү? Ар бир жооп куушуртуучу башка жерди көрсөтөт. Учурду жазып коюу кийинки адамдын ошол эле ишти кайталашына жол бербейт.

Корголгон диапазон бүт жеке мейкиндик болсо, үч учур тең бир убакта анын ичине түшүшү мүмкүн жана симптом туннелдин акыркы чекитине гана жеткен машинага айланат.

Орнотулган саясатты окуңуз, файлды эмес

Конфигурация файлдары ниетти сүрөттөйт; өзөк чындыгында дал келген саясаттарды кармайт. Экөөнү тең көрсөтүңүз жана дал келбестикти биринчи табылга деп кабыл алыңыз.

Бул буйруктар дарек үчүн тандалган маршрутту жана ар бир багытта орнотулган саясаттарды көрсөтөт:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Маршрут пакет кайсы интерфейсти колдоноорун айтат. Саясаттардын тизмеси бул пакетке кийин үлгү колдонуларын айтат, ал эми байланыштардын тизмеси демон кайсы селекторлорду орнотту деп эсептешин көрсөтөт. Дарек алыскы селектордо көрүнсө, сиз кармоону божомолдобой эле таптыңыз.

Селекторду куушуртуңуз же даректи айланып өтүңүз

Эки колдоого алынган оңдоо бар жана алар ар башка суроолорго жооп берет. Селекторду куушуртуу бул байланыш кичирээк диапазонду гана коргойт дейт; бул кененирээк диапазон ката болгондо туура. Айланып өтүүнү кошуу бул так дарек эч качан корголбошу керек дейт; бул корголгон диапазон чындап кенен болгондо жана бир дарек өзгөчөлүк болгондо туура.

Мүмкүн болсо биринчисин тандаңыз, анткени кичирээк селектор жөнүндө ойлонуу оңой жана ал байланыш аныктамасында көрүнөт. Кенен диапазон атайын болсо жана өзгөчөлүк атаса боло турган жалгыз хост же кошумча тармак болсо, экинчисин тандаңыз.

Экөө тең байланышка ээ болгон конфигурацияга таандык. Кол менен кошулган аткаруу убактысындагы эреже кийинки кайра туташууда жоголот жана бузулуу эч ким убактылуу чечимди эстебеген учурда кайтат.

Кайра орнотуудан аман калган өзгөчөлүктөр

Өзгөртүүдөн кийин ошол эле зыянсыз сурамды кайталаңыз жана ошол эле эсептегичтерди караңыз. Жергиликтүү дарек жооп бериши керек, ал эми көздөлгөн алыскы дарек дагы эле шифрленген трафикти көрсөтүшү керек.

Бул эки текшерүү өзгөчөлүктүн аман калганын, ал эми коргоонун калбаганын ырастайт:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Андан кийин туннелди атайын ажыратып, кайра туташтырыңыз жана экөөнү тең кайталаңыз. Кайра туташууга чейин иштеп, андан кийин ийгиликсиз болгон өзгөчөлүк туура эмес катмарга колдонулган жана бул бул маселенин кайталанышынын эң кеңири таралган жолу.