IKEv2 клиентине анын бөлүнгөн виртуалдык IP дарегинде жетүү

Шлюзден IKEv2 клиентине башталган сурам дал келген тандагычты, туура жергиликтүү булакты жана жеткиликтүү даректеги угуучуну талап кылат. Үчөөнү тең текшериңиз.

Шлюз IKEv2 аркылуу өзүнө туташкан ноутбукка байланышты башташы керек жана ал үчүн ошол клиентке бөлүнгөн виртуалдык даректи колдонушу керек. Туннель көтөрүлгөн, клиент шлюздин артындагы бардык нерсеге жетет, бирок карама-каршы багыт дагы эле иштебейт. Бул асимметрия кадимки: келишилген саясат кайсы даректер сүйлөшө аларын сүрөттөйт, кайсы тарап баштай аларын эмес. Шлюзден башталган сурам иштеши үчүн үч нерсе дал келиши керек.

Туннель булак дарегин түзөтпөйт

CHILD SA трафик тандагычтардын жупун камтыйт, ар бир тарапка бирден, жана ошол жуптун эки багытында тең трафикке уруксат берет. Ал IKE алмашуусун кайсы өнөктөш биринчи ачканы жөнүндө эч нерсе айтпайт. Башында туннелди уккан шлюз биринчи колдонмо пакетин дагы эле жөнөтө алат, эгер тандалган булак менен багыт орнотулган тандагычтардын ичинде болсо. Сурам туура эмес интерфейстен чыкканда, ал туннелге жараксыз болуп калат.

Клиент тарапка маршруттоо зарыл жана жетиштүү эмес. Саясат сиз иш жүзүндө колдонгон булакты уруксат бериши керек.

Орнотулган саясатты окуңуз, конфигурация файлын эмес

Активдүү ассоциациядан жана анын тандагычтарынан баштаңыз, анткени динамикалык бөлүштүрүү ядрого орнотулган нерсени өзгөртөт.

ipsec statusall
ip xfrm policy

Абалдын чыгышы байланышты, бөлүнгөн виртуалдык даректи жана ошол өнөктөш үчүн азыр күчүндө болгон тандагычтарды атайт. Саясаттын дампуусу ошол эле тандагычтарды ядро абалы катары көрсөтөт жана пакет тандоо иш жүзүндө ошого кайрылат. Шлюз тараптагы тандагычты колдонмоңуз колдоно турган булак менен салыштырыңыз, анткени дал келбестик ийгиликсиздикти дароо түшүндүрөт. Клиенттин учурдагы дарегин окуңуз, мурунку сессиядан эмес, анткени кайра бөлүнгөн VIP эски саясатты жараксыз кылат.

Клиент пакет жеткен жерде угуушу керек

Эң мыкты саясат да кызмат loopback'ке гана байланганда жабык портко жетет. Угуучу бөлүнгөн даректе же жергиликтүү универсалдуу даректе болушу керек.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Сокеттердин тизмеси порттун виртуалдык дарекке байланганын көрсөтөт, ал эми дубал эрежелери корголгон булактан жаңы байланыштардын кабыл алынарын көрсөтөт. Орнотулган байланыштар үчүн жазылган эреже шлюз баштаган байланышты өткөрбөйт. Кызматтын өзүнүн аутентификациясын сактаңыз, анткени туннелден келүү пакеттин кайсы тармактан келгенин гана аныктайт. Өз NAT'ынын артындагы клиентке кирүүчү портту багыттоо дагы эле керек эмес, анткени бул сурамдар бар туннелдин ичинде жүрөт.

Жаңы багытты өзүнчө сынаңыз

Клиенттен серверге ийгиликтүү сурам бул жолду эч качан сынабайт. Сурамды шлюзден жаратып, эки учун тең байкаңыз.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Маршрут издөө шлюздин кайсы булакты жана интерфейсти колдонорун жооп кылат, жана саясат уруксат бериши керек болгон маани ошол. Жазуу сурамдын ачык интерфейсте жөнөкөй TCP катары эмес, ESP ичинде чыкканын көрсөтүшү керек. Клиентте келүүнү жана кызматтын жообун тастыктоо үчүн чечилген трафикти жазып алыңыз. Эгер сурам тармакта ESP жок жоголуп кетсе, клиенттин дубалынан мурун булак дарегинен шектенүңүз.

Ачкыч жаңыртылгандан же кайра туташкандан кийин тестти кайталаңыз, анткени VIP өзгөрүшү мүмкүн. Кийинки сессияга чейин гана иштеген жол — иштеген жол эмес.

Тектеш макалалар