D’IPsec-Politik schléckt Äre lokalen Trafick: wéi een dat erkennt

Den Drécker um Dësch hält op ze äntweren de Moment wou den Tunnel eropkënnt, an näischt an der Tunnelkonfiguratioun ernimmt den Drécker. Wat meeschtens geschitt ass, ass datt eng geschützt Beräich sou breet geschriwwe gouf, datt en en enthält, also probéiert d’Maschinn elo Trafick ze verschlësselen, deen um lokale Segment sollt bleiwen. D’Liesen vun der installéierter Politik erkläert d’Afänken; säi Verenge un der richteger Plaz hält den distante Trafick geschützt. De Wee vum fehlerhafte Ufro bis zur passender Politik dauert e puer Minutten.

Verfollegt de Flux ier dir en Auswieler ännert

Fänkt bei der fehlerhafter Ufro un a schreift véier Wäerter op: d’Quelladress, déi d’Maschinn benotzt, de geneezen Zil, de Wee, deen de Kernel wielt, an d’Politik, déi op dës Pair passt.

Dës véier Fakten entscheeden, ob d’Afänken absichtlech oder zoufälleg ass. En Zil, dat an den distante Auswieler fält, gëtt no Design geschützt, och wann d’Design falsch war. En Zil dobaussen, dat awer nach gefaangen gëtt, bedeit datt eppes anescht passt, an den Auswieler z’änneren hëlleft net. Béid Fäll si heefeg, an eng eenzeg Kommando ënnerscheet se.

Maacht dat ier dir eppes editéiert, well dee interessante Fall ass de lokalen Subnetz, deen sech mat enger privater Beräich iwwerschneit, déi d’Verbindung schützt. Bekannte Prefixe wéi 192.168.0.0/16 erschéngen a ville Netzwierker, an en Auswieler, dee fir een dovun geschriwwe gouf, kann Ären eise Still decken.

Dräi Aarte vu lokal, déi sech anescht behuelen

En Zil, dat dësem Host zougewisen ass, en Zil um selwechte Link an en Zil hannert engem aneren Interface sinn dräi verschidde Fäll. De Kernel behandelt jidderee vun hinnen anescht, wann en entscheet, ob den Trafick Schutz brauch.

Den Trafick, deen de Gateway selwer generéiert, ass och net d’selwecht wéi den Trafick, deen aus engem Client weidergeleet gëtt. Eng Politik, déi fir weidergeleeten Trafick richteg ausgesäit, kann dem Gateway seng eege Verwaltungssessioun afänken, an esou verléiert en Administrateur den Zougang, während en den Tunnel reparéiert.

Déi nëtzlech Gewunnecht ass, de Fall haart ze nennen: kënnt dëse Pak vun mir, geet en op mäi Link oder geet en duerch mech? All Äntwert weist op eng aner Plaz fir ze verengen. De Fall opzeschreiwen verhënnert och, datt déi nächst Persoun déi selwecht Aarbecht nach eng Kéier mécht.

Wann déi geschützt Beräich e ganzen private Raum ass, kënnen all dräi Fäll gläichzäiteg dran falen, an d’Symptom gëtt eng Maschinn, déi nirgends hikënnt ausser dem Tunnel säin Ennpunkt.

Liest déi installéiert Politik, net d’Datei

Konfiguratiounsdateien beschreiwen d’Absicht; de Kernel hält d’Politiken, déi tatsächlech passen. Weist béides a behandelt eng Onstëmmegkeet als éischt Entdeckung.

Dës Kommandoen weisen de gewielte Wee fir den Zil an déi installéiert Politiken an all Richtung:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

De Wee seet Iech, wéi en Interface de Pak benotze géif. D’Lëscht vun de Politike seet Iech, ob duerno eng Schabloun op dëse Pak ugewannt gëtt, an d’Lëscht vun de Verbindungen weist, wéi eng Auswieler den Daemon mengt installéiert ze hunn. Wann den Zil an engem distante Auswieler erschéngt, hutt dir d’Afänken ouni ze roden fonnt.

Verengt den Auswieler oder ëmgeet den Zil

Et gëtt zwou ënnerstëtzt Reparaturen a si äntweren op verschidde Froen. Den Auswieler ze verengen seet, datt dës Verbindung nëmmen eng méi kleng Beräich schützt, wat richteg ass, wann déi méi breet Beräich e Fehler war. Eng Ëmgeung derbäizesetzen seet, datt dësen spezifeschen Zil ni sollt geschützt ginn, wat richteg ass, wann déi geschützt Beräich wierklech breet ass an een Zil d’Ausnam ass.

Wielt déi éischt wann dir kënnt, well en méi klengen Auswieler méi einfach ze iwwerleeën ass an an der Verbindungsdefinitioun erschéngt. Wielt déi zweet wann déi breet Beräich absichtlech ass an d’Ausnam en eenzegen Host oder Subnetz ass, deen dir nenne kënnt.

Béid gehéieren zu der Konfiguratioun, déi d’Verbindung besëtzt. Eng Laufzäitregel, déi vun Hand bäigefüügt gouf, verschwënnt bei der nächster Neiverbindung, an de Fehler kënnt zréck an engem Moment, wou keen den Ëmwee nach weess.

Ausnamen, déi eng Reinstallatioun iwwerstoen

Nom Änneren, widderhëlt déi selwecht harmlos Ufro a kuckt op déi selwecht Zähler. Den lokalen Zil sollt äntweren, an de geplangten distante Zil sollt nach ëmmer verschlësselten Trafick weisen.

Dës zwou Kontrollen bestätegen, datt d’Ausnam iwwerlieft huet an de Schutz net:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Dann trennt an verbënnt den Tunnel bewosst nei, a widderhëlt béides. Eng Ausnam, déi virum Neiverbannen funktionéiert an duerno versot, gouf op déi falsch Schicht ugewannt, an dat ass dee meeschte verbreete Wee, wéi dëse Problem zréckkënnt.