Бир нече ички тармагы бар IPsec кайтаруу трафигин жоготот? reqid санаңыз

Трафик бир аянтчадан чыгып, эч качан кайра келбейт, эки шлюз тең бүткөн сүйлөшүү тууралуу билдирет, ал эми жалгыз белги — жоопсуз чыгуучу пакеттердин үймөгү. Linux четки чекитинде адаттагы себеп шифрлоонун күчү, MTU же маршруттоо таблицасы эмес. Бул саясат жазууларынын майдалыгы жана ар бир саясатты коопсуздук ассоциациясы менен байланыштырган сан. Төмөнкү процедура башка нерсеге кол тийгизээрден мурун ушул эки базаны окуйт.

Бир нерсени өзгөртүүдөн мурун симптомду бөлүңүз

Бүткөн IKE сүйлөшүүсү менен бир багыттуу бузулуу маселени маалымат жолуна чейин тарылтат. Же чыгуучу саясат дал келип, жооп ташталды, же жооп такыр келген жок, анткени каршы тарапта аны жөнөтө турган эч нерсе болгон жок. Колдонмо үчүн экөө тең бирдей көрүнөт, ал эми xfrm базалары аларды айырмалайт.

MTU менен баштабаңыз. Туура эмес MTU тыгындарды жана фрагментация симптомдорун берет, өсүп жаткан чыгуучу эсептегичтер менен таза багыт бөлүнүшүн эмес.

Саясат базасын жана абал базасын окуңуз

Linux'то шифрлоону саясат жазуулары чечет, ошондуктан туура келген саясат, маршрут эмес, пакетти туннелге киргизет. Ар бир жазуунун селекторлорун, багытын, артыкчылыгын жана үлгүсүн көрүү үчүн ip xfrm policy, орнотулган ассоциацияларды алардын reqid'лери менен көрүү үчүн ip xfrm state иштетиңиз. Саясат менен ассоциация ушул reqid аркылуу байланышат.

Үч багыттын бардыгына көңүл буруңуз. Чыгуучу жана кирүүчү бул хостко жана андан трафикти камтыйт; кайра багыттоо багыты хост башкалар үчүн маршруттаганда маанилүү. Бир багытта жок же дал келбеген жазуу эч кандай криптографиялык катасыз бир багыттуу натыйжаны түшүндүрөт.

Классикалык асимметрия: бир нече ички тармак үчүн бир reqid

Көп кездешүүчү бузулуу бардык сүйлөшүлгөн ички тармактардын саясаттарын бир reqid астында орноткон өнөктөштөн келет, бул racoon'дун generate_policy require учурда болот. Андан кийин трафик акыркы орнотулган ассоциация аркылуу чыгат, ал эми каршы тарап ар бир ички тармак үчүн өзүнчө ассоциация кармайт. Жооптор reqid'и аларды кабыл алууга тийиш болгон саясатты көрсөтпөгөн ассоциацияга келет, ал эми өзөк аларды дешифрлоодон кийин таштайт.

Оңдоо — конфигурацияны өзгөртүү, коргоо дубалынын эрежеси эмес: generate_policy unique; ар бир саясатка өз reqid'ин берет, ошондуктан өнөктөштүн саясат боюнча ассоциацияларынын туура келген өнөктөштөрү болот. Аны колдонуңуз, кайра сүйлөшүү жүргүзүңүз жана ийгилик жарыялоодон мурун күтүлгөн ички тармактар үчүн ар башка reqid'лерди санаңыз.

Эгер эки ички тармак дагы эле бир reqid бөлүшсө, ал эми каршы тарап экөөнү күтсө, сиз асимметрияны таптыңыз. Дал келүүнү жазып коюңуз, анткени бул кийинки өзгөртүү аны оңдогонун же сактаганын далилдейт.

Селекторлор конфигурацияңыздан эмес, сүйлөшүүдөн келет

Корголгон диапазондор бир тарап сураган эмес, эки учү тең макулдашкан диапазондор. Кенен алыскы диапазонго каршы хост жупун сунуш кылган кардар шлюздун тарылтылган версиясын алат жана кардар аны кеңейте албайт. Жергиликтүү файлыңыздагы селекторлордун ордуна орнотулган селекторлорду окуңуз.

Максат тескери болгондо, башкача айтканда бир багыттоону туннелден тышкары кармоо керек болсо, автоматтык орнотулган жазууну жеңиши үчүн артыкчылык номуру төмөнүрөөк айланып өтүү саясатын кошуңуз. Үлгүсүз саясат ачык текстке жол берет, бул аны жөндөө кадамы эмес, өзгөртүүлөр журналы үчүн атайын жасалган өзгөчөлүк кылат.

Ушул тартипте текшериңиз жана кантип артка кайтарууну билиңиз

Ар бир ички тармак үчүн саясаттарды эки багытта тизмелеңиз, хост маршруттаса кайра багыттоо багытын кошуп. Ар башка reqid'лерди санаңыз жана күтүп турган тарапта ар бир саясатка бирден экенин ырастаңыз. Орнотулган селекторлорду сүйлөшүлгөндөр менен салыштырыңыз. Ачкычты жаңырткандан кийин ассоциация боюнча эсептегичтерди кайра окуңуз, анткени текшерген ассоциацияңыз мурун эле кетип калган болушу мүмкүн. Маршруттарды акырында текшериңиз, анткени алыскы ички тармакка маршруттун жоктугу таза саясат эсептегичтери менен окшош бир багыттуу симптом берет.

Өнөктөштү өзгөртүүдөн мурун эки xfrm буйругунун учурдагы чыгышын сактаңыз. Эгер жаңы параметр кайтаруу багытын калыбына келтирбесе, ошол чыгышты калыбына келтирүү туннелди эстен кайра куруудан тезирээк артка кайтаруу болуп саналат жана салыштырууну ак ниеттүү кармайт.