XFRM демейки маршруту IKE жана ESPни жутуп койду: сырткы жолду сактаңыз

Баарын коргогон саясат туннелди кармап турган пакеттерди да кармап калышы мүмкүн. IKE жана ESP белгилеңиз, же өнөктөш маршрутун калтырыңыз.

Трафик корголгон, туннель иштеп жатат, анан кийинки ачкыч жаңыртууда өлөт. XFRM интерфейси аркылуу өткөн демейки маршрут коргогуңуз келген трафикти сүрөттөдү. Ал коргоону улантуу үчүн керек пакеттерди да жутуп койду.

Катышкан эки багыт бири-бирин алмаштыра албайт. Маршруттоо муну ачык айтышы керек.

Өнөктөштүн издөөсү чынында кайда барат

Активдүү эрежелерди, XFRM маршруту бар таблицаны жана өнөктөштүн ачык дарегин жазып алыңыз. Анан сырткы байланыш өзүнүн чыныгы булагы жана белгиси менен кайсы жолду басарын караңыз. Жалпы багыт ал башкаруу жолу жөнүндө эч нерсе айтпайт. Бир гана чыныгы булак жана белги пайдалуу жооп берет.

Ийгиликтүү баштапкы байланыш да аз нерсени далилдейт. Жаңылыштык көбүнчө маршрут орнотуу жоопту өзгөрткөндөн кийин пайда болот. Баштоо ийгиликтүү өтөт, анан биринчи жаңыртуу өтпөйт.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Эгер өнөктөштүн издөөсү XFRM интерфейсине түшсө, сырткы пакеттер өздөрү куруп жаткан туннелге багытталат. Бул — бир буйрук менен көрүнгөн цикл.

Заманбап шлюздагы чыгаруу параметрлери

strongSwan маршрутка негизделген VPN боюнча документтери эки практикалык жооп сунуштайт. Бири IKE жана ESP белгилейт, XFRM таблицасына шилтеме кылган эреже аларга туура келбеши үчүн. Экинчиси издөө дагы жете алган өнөктөш маршрутун же чыгарууну калтырат.

Эреже жыйнагыңыз терс таасирсиз билдире алганын тандаңыз. Белги стектин калганы белгилерди колдонуп жатса, таза. Бир эле маска башка эрежеде башка нерсени билдирсе, ал коркунучтуу. Пакеттердин эки түрү тең баары бир бул иштетүүнү талап кылат.

Бир гана IKE белгилөө маалымат пакеттерин кармалган жолдо калтырат. Бул кол алышууну аткарып, анан эч нерсе ташыбаган туннель жаратат.

Белги — пакеттин fwmark ичиндеги шлюзде башка эч ким талап кылбаган бир бит: 0x1, 0x1 маскасы менен адаттагы тандоо, жана чыгаруу иштеши үчүн аны эки жерде орнотуу керек. Charon ага IKE сокетинде муктаж, ал эми бала байланыштын кирүү жана чыгуу белги параметрлерине ошол эле маани керек, инкапсуляцияланган пакеттер да белгиленип чыгышы үчүн. 0xffffffff ордуна 0x1 маскасы калган биттерди бош калтырат, бул ошол хосттогу башка ички тутум пакеттерди белгилеп жатса маанилүү. Экөө тең орнотулса, эреже чыгаруу катары жазылат, ошондуктан белгиленген пакеттер XFRM маршруту бар таблицаны айланып өтүп, негизги таблицага түшөт:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Анан жоопту белги колдонулган абалда окуңуз. Ансыз сиз корголгон трафик баскан жолду текшересиз, бул бул бөлүмдүн суроосуна тескери.

Автоматтык орнотуу курулуш жөнүндө эмнени болжолдойт

XFRM интерфейси үчүн автоматтык маршрут орнотуу strongSwan версиясына жана анын конфигурациясына көз каранды. Интерфейс ID, орнотулган саясат жана ассоциация — баары көздөлгөн объектилерге шилтеме кылышы керек. Шайкешсиздик тынч гана чыныгы жерге көрсөткөн маршрут катары көрүнөт.

Таблица номерин же белги маскасын башка шлюзден көчүрүү — кагылышуулардын башталышы. Адегенде аны эмне колдонуп жатканын текшериңиз. Кагылышуу өзгөртүүнү көздөгөн туннелден алда канча алыс трафикке таасир этет, ал эми симптом сейрек көчүрмөгө көрсөтөт.

Өнөктөштүн дарегинин өзгөрүүлөрү долбоорго кирет. Кечээки дарек үчүн хост маршруту акыркы чекитти калыбына келтирүү планы эмес, ал эми белги бул өзгөрүүгө туруштук берет.

Биринчи жаңыртууну көзөмөлдөңүз

Сырткы жолду корголгон маршруттар орнотулгандан кийин текшериңиз, мурун эмес. Анан кийинки жаңыртууну жана бир колдонмо алмашуусун көзөмөлдөңүз. Жаңылыштык адатта ошол өтүүдө пайда болот, баштоодо эмес.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Корголгон демейки маршрутту убактылуу алып салуу адатта байланышты калыбына келтирет. Бул натыйжа диагностикалык, акыркы эмес.

Максат — ички трафик менен аны ташыган сырткы пакеттердин ортосунда туруктуу бөлүнүү. Тандалган механизмди жана анын таблицасын же белгисин шлюз жазууларына жазыңыз. Болбосо эрежелерге кол тийгизген кийинки адам циклди кайра киргизет.

Тектеш макалалар