IPsec коопсуздук саясаты эмне үчүн маршруттоо таблицасынын жазуусу эмес
Иштеген маршрут IPsec жөнүндө эч нерсени далилдебейт. Бир агым үчүн маршрут издөөсүн жана саясаттын селекторлорун окуп, андан кийин ассоциация аны камтый турганын ырастаңыз.
Туннелден 10.20.0.5ке ping жөнөтүңүз жана эч нерсе кайтпайт, ал эми маршруттоо таблицасы ал субтармакка жетүүгө болот деп туруп алат. Маршруттоо жана IPsec ар башка суроолорго жооп берет жана алардын бирөө гана жеткиликтүүлүк жөнүндө. Алдыга издөө жолду тандайт, андан кийин коопсуздук саясатынын маалымат базасы ошол жолду коргоо керекпи, ошол бойдон калтыруу керекпи же баш тартуу керекпи экенин чечет. Экөө макул болбосо, пакет үнсүз өлөт, ошондуктан аларды ушул тартипте окуңуз.
Таблицадан эмес, издөөдөн баштаңыз
Ядродон анын чындыгында эмне кыларын сураңыз: ip route get 10.20.0.5 тандалган маршрутту, чыгуучу интерфейсти жана колдоно турган булак дарегин басып чыгарат. Префикс, саясат эрежеси, белги же артык көрүлгөн булак бул жоопту өзгөртүшү мүмкүн, ошондуктан тирүү издөө таблицаны көз менен окуудан артык.
Корголгон диапазондун ичиндеги багытты текшериңиз, шлюз дарегин эмес. Аркы тараптын шлюзуна жетүү кандайдыр бир маршрут бар экенин гана далилдейт; ал сизге чындап керек болгон субтармак жөнүндө эч нерсе айтпайт. Андан кийин издөө тандаган интерфейс туннель колдонот деп күткөн интерфейс экенин ырастаңыз.
Селекторлорду эки тарапта дал келтириңиз
Саясат базасынын өз жазуулары бар жана ар бири багытты, булакты, багытты жана протоколду атайт, андан кийин дал келген пакеттерге эмне болушу керектигин айтат. Аларды тизмектөө үчүн ip xfrm policy колдонуңуз; желектер аракеттин коргоо, айланып өтүү же бөгөттөө экенин көрсөтөт. Селекторлору сыноо агымынан кененирээк же тар болгон саясат ага дал келбейт жана пакет коргоосуз чыгат. Бул сиз издеп жүргөн бузулуу, жоголгон маршрут эмес.
Чыныгы маанилерди салыштырыңыз: булак, багыт, протокол жана порттор. Эгер издөө бир дарек жупун чечсе, ал эми саясат жазуусу башкасын камтыса, эки көрүнүш ар башка трафикти сүрөттөйт. Кортунду чыгарбастан мурун экөөнү тең ошол эле кортеж менен кайра иштетиңиз, болбосо жолдо эч качан болбогон саясатты түзөтөсүз.
Саясаттын дал келиши — орнотулган абал эмес
Дал келген саясат пакетти коргоо керектигин гана айтат; коргоону аткаруу үчүн ядрого дагы эле коопсуздук ассоциациясы керек. Аларды ip xfrm state менен, же сүйлөшүүлөрдү strongSwan жүргүзсө swanctl --list-sas менен тизмектеп, ар бир жазуунун селекторлорун жана эсептегичтерин окуңуз.
Саясат дал келип, эч бир ассоциация ошол эле селекторлорду камтыбаса, пакет ачык текст менен жөнөтүлүүнүн ордуна ыргытылат. Туннель иштеп турганда бир гана субтармак иштебей калганда издеш керек болгон ыргытуу — ушул. Эсептегичтер калганын айтат: эч качан өспөгөн ассоциация эч качан тандалган эмес, ал эми өсүп, ошого карабастан ыргытуу менен бүткөнү алыскы тарапты көрсөтөт. Селекторлорду оңдоо жана ачкычтарды жаңыртуу — ар башка оңдоолор, ошондуктан конфигурацияга тийүүдөн мурун кайсынысы керек экенин чечиңиз.
Маршрутка негизделген туннель дагы эмнени талап кылат
XFRM интерфейси туннелди маршруттоого боло турган түзмөккө окшоштурат, бул чындап пайдалуу. Бирок ал пакет ошол жерге жеткенден кийин эмне болорун чечкен саясатты жана абалды жок кылбайт. Маршрут кийинки секирик гана берет, андан ашык эмес.
Эгер түзмөк бар болуп, маршрут ага багытталса, бирок эч бир ассоциация ички селекторлорго дал келбесе, пакет жок кылынат жана маршруттарды канча түзөтсөңүз да ачкычтар же селекторлор пайда болбойт. Интерфейсти маршруттаган ошол эле булак жана багыт менен текшерип, анан аны абалдар тизмеси менен салыштырыңыз.
Бир нерсени түзөтүүдөн мурун ээликти тактаңыз
Хосттун брандмауэри эки маалымат базасынын эч бири билбеген үчүнчү чечимди кошот. Туура маршрут жана дал келген саясат жана орнотулган ассоциация баары бир ыргытылган пакет менен бүтүшү мүмкүн, ал эми колдонмо убакыттын бүткөнүн гана билдирет. IPsec күнөөлөөдөн мурун брандмауэр корголгон трафикке уруксат берерин ырастаңыз. Туннель түзмөгүндө жана физикалык интерфейсте кармоо шифрлөөнүн кайсы тарабында пакет жоголгонун көрсөтөт.
Конфигурациянын ээлиги сиздин оңдооңуз кайра жүктөөдөн кийин сакталабы же жокпу аныктайт. Бир компонент абалды орнотушу мүмкүн, экинчиси маршруттарды башкарат, экинчисине кол менен киргизилген өзгөртүү туннель кийинки жолу көтөрүлгөндө кайра жазылат. Ээлик конфигурацияны өзгөртүп, анан эки көрүнүштү кайра окуңуз; RFC 4301 бул бөлүнүштү башкага түшүндүрүү керек болгондо эки маалымат базасын өзүнчө кармайт.