IPsec-Verkeiersselektoren: wat si ofdecken an wat net

Verkeiersselektoren nennen den bannenzegen Trafik, deen eng IPsec-Vereenbarung schützt, an d'Paar gëtt verhandelt amplaz ugeholl. Zwou Endpunkten kënnen sech géigesäiteg perfekt authentifizéieren an trotzdeem net d'accord sinn, wéi eng Paketen an den Tunnel gehéieren. Dës Onstëmmegkeet ass am Verbindungsstatus onsiichtbar, deen normalerweis en gesonden Tunnel mëllt. D'Selektoren op béide Säiten ze liesen an dann eng Destinatioun ze suivéieren, fënnt et méi séier wéi all Quantitéit un Politikredaktioun.

Liest se vun béide Säiten

Jeden Endpunkt beschreift seng eege Säit als lokal an déi aner Säit als wäit ewech. Dofir erschéngt datselwecht Prefix-Paar an den zwou Konfiguratiounen ëmgetosch, an dat ass korrekt an net widersprüchlech. D'Perspektiv ëmdréien ass dat éischt, wat ze maachen ass, wann eng funktionéierend Vereenbarung um Pabeier falsch ausgesäit. Zwou Dateien niewenteneen ze vergläichen, ouni se ëmzetauschen, produzéiert eng Onstëmmegkeet, déi et net gëtt.

D'Wäerter sinn net ëmmer eenzel Subnetzer. IKEv2-Selektoren kënnen Adressbereicher, Protokollnummeren a Portberäicher droen, an esou schützt eng Politik ee Service amplaz vun engem ganzen Netz. En Selektor, dee méi schmuel ass wéi den intendéierten Trafik, produzéiert en Tunnel, deen e puer Destinatiounen dréit an anerer stëll ausklammert.

Schreift béid Säiten an eng Tabell, ier Dir eppes ännert. Dës Übung entscheet normalerweis d'Fro, ouni eng Konfiguratiounsdatei unzepaken.

D'Verengung ass d'Entscheedung vum Äntwerer

En Initiator proposéiert, an den Äntwerer däerf nëmmen eng Ënnersammlung akzeptéieren. IKEv2 erlaabt dem Äntwerer, déi ugebuede Verkeiersselektoren ze verengen, an dat verengt Resultat ass dat, wat tatsächlech installéiert gëtt. D'Konfiguratioun vum Initiator ze liesen beschreift dofir en Ugebot, net d'Vereenbarung.

Dofir kann en Subnetz, deen beim Client dobäi kënnt, en funktionéierenden Tunnel produzéieren, deen déi nei Destinatioun trotzdeem refuséiert. De Server huet den Ugebot bis dohin verengt, wou seng Politik et erlaabt, während d'Datei vum Client nach ëmmer dee méi breede Beräich oplëscht. Nëmmen den verhandelte Zustand weist d'Wourecht: op Linux mellen ip xfrm policy an d'child SA-Lëscht an der IKEv2-Dokumentatioun vu strongSwan, wat installéiert gouf an net wat gefrot gouf. Wa béid net d'accord sinn, ass et d'Politik vum Äntwerer, déi geännert muss ginn.

En ofgelehnten Ugebot ass en anert Symptom wéi en verengten. D'Oflehnung erschéngt am Verhandlungslog an hannerléisst guer keng child-Associatioun.

Suivéiert eng Destinatioun vu Ufank bis Enn

Wielt eng richteg Destinatioun plus d'Quelladress, déi de Client dofir benotze géif, an dann suivéiert dëst Paar duerch dräi onofhängeg Entscheedungen. D'Route wielt en Ëmwee, de Selektor entscheet, ob dësen Ëmwee geschützt ass, an d'Firewall entscheet, ob de Paket erlaabt ass. Jidderee kann eleng feelen, an en breeden Selektor reparéiert keng vun den aneren.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

D'Routënfro nennt d'Interface an d'Quelladress, déi de Paket géifen droen. D'Politiklëscht weist, ob et eng passend Tunnelpolitik fir dëst Paar gëtt, inklusiv senger Richtung a sengem Niveau. D'SA-Lëscht weist déi verhandelt child-Selektoren zesumme mat Zieler, dofir ass eng child-Associatioun mat null Paketen no engem Trafikversuch d'Signatur vu Selektoren, déi ausklammeieren, wat geschéckt gëtt. Dräi Kommandos, dräi verschidde Äntwerten, an nëmmen eng dovun erkläert en stille Verloscht.

Wa sech d'child-Zieler beweegen, während d'Applikatioun nach ëmmer feelt, läit de Problem hannert dem Tunnel. Dat verréckelt d'Enquête op den Nolauschterer oder d'Firewall vum wäitem Host an net op d'Selektoren.

Hält déi zwou Ziler getrennt

En Büro-Subnetz ze schützen an de ganze Surfen duerch en wäiten Ausgang ze schécken sinn ënnerschiddlech Ufuerderunge mat ënnerschiddleche Selektoren. E Profil, deen fir dat engt gebaut gouf, passt seelen zu deem aneren, an hir Mëschung produzéiert entweder e Lach oder eng gebrache Deelung. De geschützte Beräich ze erweideren heescht, déi zwou Endpunkten an hir Weiderleeungspolitik ze änneren, well eng eenzeg Ännerung zu engem ofgelehnten Ugebot gëtt. Dat ass dee meeschte Wee, op deem en funktionéierenden Tunnel no enger klenger Ännerung ophält ze funktionéieren.

Selektoren beschreiwen d'kryptografesch Ofdeckung, Routen wielen Ëmweeër, an Applikatiounen ëmsetzen hir eege Erlaabnesser. En Tunnel, deen alles ofdeckt, kann nach ëmmer keen Service erreechen, deen un loopback gebonnen ass, an eng Route an den Tunnel brauch nach ëmmer en Selektor, deen d'Destinatioun enthält. Préift all dräi géint déiselwecht Testufro, an d'Onstëmmegkeet nennt sech selwer.