IPsec mat méi Subnetzer verléiert Réckverkéier? Zielt d'Reqiden

Trafic verléisst déi eng Plaz a kënnt ni zréck, béid Gateways mellen eng ofgeschloss Verhandlung, an deen eenzegen Indice ass eng Koppel vu erausgehende Paketen ouni Äntwerten. Op engem Linux-Endpunkt ass déi gewéinlech Ursaach net d'Stäerkt vun der Verschlësselung, d'MTU oder eng Routingstabell. Et ass d'Granularitéit vun de Policy-Andräg an d'Nummer, déi all Policy mat enger Sécherheetsassociatioun verbënnt. D'Prozedur hei drënner liest déi zwou Datebanken, ier eppes anescht ugegraff gëtt.

Trennt d'Symptom, ier Dir eppes ännert

En eenrichtung Fehler mat enger ofgeschlossener IKE-Verhandlung enkert de Problem op den Datespuer an. Entweder huet déi erausgehend Policy gepasst an d'Äntwert gouf verworf, oder d'Äntwert ass ni ukomm, well déi aner Säit näischt hat, fir se duerchzeschécken. Vun enger Applikatioun aus gesinn déi zwou identesch aus, an d'xfrm-Datebanken ënnerscheeden se.

Fänkt net mat der MTU un. Eng falsch MTU produzéiert Stéierungen a Fragmentéierungssymptomer, keng propper Richtungstrennung mat klammenden erausgehenden Zähler.

Liest d'Policy-Datebank an d'State-Datebank

Verschlësselung op Linux gëtt vu Policy-Andräg entscheet, also bréngt eng passend Policy, net eng Route, e Paket an den Tunnel. Fëllt ip xfrm policy aus, fir d'Selektoren, Richtung, Prioritéit an Template vun all Andrag ze gesinn, an ip xfrm state, fir d'etabliert Associatiounen mat hire Reqiden ze gesinn. D'Policy an d'Associatioun gi vun där Reqid verbonnen.

Kuckt op all dräi Richtungen. Erausgehend an erakommend decken den Trafic zu an vun dësem Host of; d'Forward-Richtung zielt, wann den Host fir anerer routeiert. En Andrag deen feelt oder ofwäicht an enger Richtung erkläert en eenrichtung Resultat ouni ee kryptografesche Fehler.

Déi klassesch Asymmetrie: eng Reqid fir méi Subnetzer

E heefeg Fehler kënnt vun engem Peer, deen d'Policies fir all ausgehandelt Subnetzer ënner enger eenzeger Reqid installéiert, wat bei racoon sengem generate_policy require geschitt. Den Trafic geet dann duerch déi Associatioun, déi lescht opgebaut gouf, wärend déi aner Säit eng eege Associatioun pro Subnetz hält. Äntwerten komme op enger Associatioun un, där hir Reqid net d'Policy bezeechent, déi se sollte akzeptéieren, an de Kernel verwërft se no der Entschlësselung.

D'Léisung ass eng Konfiguratiounsännerung, keng Firewallregel: generate_policy unique; gëtt all Policy hir eege Reqid, sou datt d'Associatiounen pro Policy vum Peer passend Partner hunn. Setzt dat ëm, verhandelt nei, a zielt déi verschidde Reqiden fir d'Subnetzer, déi Dir erwaart, ier Dir Succès erkläert.

Wann zwou Subnetzer nach ëmmer eng Reqid deelen, obwuel déi aner Säit zwou erwaart, hutt Dir d'Asymmetrie fonnt. Halt d'Zouuerdnung fest, well se den Noweis ass, ob déi nächst Ännerung se behuewe oder erhalen huet.

Selektoren kommen aus der Verhandlung, net aus Ärer Konfiguratioun

Déi geschützt Beräicher sinn dat, wourop sech béid Säiten eens goufen, net dat, wat eng Säit gefrot huet. E Client, deen e Hostpaar géint ee breede wäite Beräich ubitt, kritt déi verengt Versioun vum Gateway, an de Client kann se net erweideren. Liest déi installéiert Selektoren amplaz déi an Ärer lokaler Datei.

Wann d'Zil dat Géigendeel ass, een Zil ausserhalb vum Tunnel ze halen, füügt eng Bypass-Policy mat enger niddereger Prioritéitsnummer dobäi, sou datt se géint den automatesch installéierten Andrag gewënnt. Eng Policy ouni Template erlaabt Klartext, wat se zu enger bewosster Ausnam fir eng Ännerungsnotiz amplaz zu engem Debugging-Schrëtt mécht.

Iwwerpréift an dëser Reihenfolg, a wësst, wéi Dir zréckrollt

Lëscht d'Policies fir all Subnetz an béide Richtungen op, inklusiv forward, wann den Host routeiert. Zielt déi verschidde Reqiden a bestätegt eng pro Policy op der Säit, déi dat erwaart. Vergläicht installéiert Selektoren mat deenen ausgehandelten. Liest d'Zähler pro Associatioun no engem Rekey nach eng Kéier, well d'Associatioun, déi Dir gepréift hutt, ka scho fort sinn. Kontrolléiert Routen als Lescht, well eng fehlend Route zum wäiten Subnetz e vergläichbaren eenrichtung Symptom mat propperen Policy-Zähler produzéiert.

Ier Dir de Peer ännert, späichert déi aktuell Ausgab vun béide xfrm-Kommandos. Wann déi nei Astellung d'Réckrichtung net restauréiert, ass et d'Ausgab ze restauréieren eng méi séier Rollback wéi den Tunnel aus dem Gedächtnis nei opzebauen, an et hält de Verglach éierlech.