strongSwan op AWS Site-to-Site: firwat d’Child SA näischt auswielt

En IKE-Tunnel kann op sinn, während d’Kandassociatioun Är Subnetzer ausschléisst. Vergläicht fir d’éischt déi lokal an déi wäit CIDR vun AWS mat leftsubnet a rightsubnet.

D’Konsole weist up, strongSwan mellt eng opgeriicht IKE-Associatioun, an d’Pakete kommen trotzdem net un. Dat Nächstes wat verglach muss ginn ass net de viru gedeelte Schlëssel, mä d’Paar Präfixer vun deenen all Säit mengt den Tunnel schützt se. Gitt d’Kontrollen hei drënner der Rei no duerch, well déi éischt zwou entscheeden ob den Tunnel Äre Verkéier iwwerhaapt kann droen.

Iwwersetzt d’Nimm vun AWS an d’Begrëffer vum strongSwan

AWS beschreift d’Verbindung vun der Clientsäit: d’Adress vum Client-Gateway an de lokale CIDR gehéieren Iech, an de wäite CIDR gehéiert zum VPC. strongSwan nennt déi zwou Enner left a right, mat Ärem Präfix am leftsubnet an dem VPC-Präfix am rightsubnet. Wann een d’Paar verdauscht, entsteet en Tunnel deen de falsche Verkéier verhandelt an auswielt.

Luet d’Konfiguratioun erof déi AWS fir d’Verbindung generéiert a behandelt se als Referenz just fir déi Verbindung, inklusiv den Tunneladressen a Präfixer. Wann Dir béid CIDR-Felder beim Uleeën eidel loosst, benotzt den Déngscht de Standard 0.0.0.0/0 op all Säit. En Router dee mat engem schmuele Präfix konfiguréiert ass, passt dann ni, also fëllt d’Felder aus oder erweidert de Selekter bewosst.

Eng Onstëmmegkeet hei gesäit aus wéi e Routingfehler an ass keen.

Fixéiert d’Adress déi AWS tatsächlech gesäit

En Router hannert NAT kann IKE vun engem Interface schécken, vun deem déi aner Säit ni wousst. D’Gateway-Adress déi an AWS agedroe gëtt muss déi sinn déi AWS um Netz gesäit, an de Router muss op déi selwecht lokal Adress fixéiert ginn, amplaz senger Standardroute ze follegen.

conn %default
    local_addrs = 203.0.113.10

Am strongSwan wielt local_addrs d’Quelladress fir IKE, an al OpenSwan-Konfiguratiounen schreiwen déi selwecht Iddi als left. Richt se op den Interface dee fir déi ëffentlech Adress huet, iwwerpréift duerno um NAT-Gerät selwer datt UDP 500 an 4500 deen Host erreechen, well eng Regel déi vun engem virege Router iwwreg bleift se stëll verwerfen. E korrekt Selekterpaar mat der falscher Quelladress schléit nach ëmmer feel, an de Log gëtt d’Propositioun beschëllegen. Just dës Irreféierung ass de Grond firwat d’Quelladress eng eege Kontroll verdéngt.

Bestätegt d’Iwwerleeungsregel amplaz se unzehuelen, well eng Regel déi fir de virege Router richteg war heefeg bleift.

Behandelt Phas 1 a Phas 2 getrennt

AWS weist IKE- an ESP-Optiounen als getrennt Lëschten. Eng IKE-Suite déi béid Säiten akzeptéieren seet näischt iwwer d’ESP-Propositioun, well déi zwou Lëschten onofhängeg sinn. Liest béid aus der generéierter Konfiguratioun a vergläicht se een nom aneren.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Syntax reest net tëscht Implementatiounen. E Paar dat am OpenSwan funktionéiert, zum Beispill phase2alg=aes_gcm mat ike=aes256-sha1;modp1024, muss an d’Form esp= an ike= vum strongSwan iwwersat ginn, an d’Algorithumnimm sinn anescht. Well GCM beim Verschlësselen authentifizéiert, brauch et keng separat Integritéitstransformatioun, am Géigesaz zu enger CBC-Suite déi mat SHA gepaart ass. Eng Zeil vun Phas 2 déi ouni Iwwersetzung vun engem Daemon an den aneren agekleeft gëtt, produzéiert eng Oflehnung déi wéi eng Selekter-Onstëmmegkeet liest.

Kontrolléiert d’Kandassociatioun, net den Tunnelindikator

Wann d’Verbindung lued awer keng Kandassociatioun entsteet, gouf entweder d’Propositioun oder d’Selektere verworf. Wann e Kand entsteet an seng Selektere Är Präfixer ausschléissen, ginn d’Pakete gefiltert ier se den Tunnel erreechen. Den Indikator vun der Konsole deckt just d’IKE-Niveau of, also kann en Iech net soen wat vun deenen zwee geschitt ass.

ipsec statusall

Sicht d’Kandsécherheetsassociatioun a liest d’Verkéiersselekteren déi der niewendrun gedréckt sinn, vergläicht se duerno mat de Präfixer aus der generéierter Konfiguratioun.

Test vun engem Host bannent dem lokale Präfix op en Host bannent dem VPC-Präfix, a kontrolléiert de Retourwee souwéi all Sécherheetsgrupp oder Netzwierk-ACL op der AWS-Säit. Korrekt Selektere schützen e Paket net dervir spéider verweorf ze ginn.

Wann et nach ëmmer feelt nodeems d’Selektere passen

Bestätegt datt d’Route op béide Säiten op den Tunnel weist, bestätegt duerno datt den NAT-Gerät de Verkéier net esou ëmschreift wéi d’Politik et net erwaart. En tunnelbaséierte Politiks-Tunnel gläicht Paketadressen of, also ännert eng Iwwersetzung déi no der Politikentscheedung ugewannt gëtt d’Resultat.

Logt op all Säit ee Paket bei der Eraus- an ee bei der Eropgaangssäit, ier Dir eng aner Propositioun ännert.

Notéiert d’Selekteren, d’Propositioune vun de Phasen 1 a 2 an d’Quelladress am Ticket. Déi véier Wäerter erklären déi meescht site-to-site-Feeler ouni en Uruff.

Ähnlech Artikelen