strongSwan-Trap-Modus: firwat den IPsec-Tunnel op Traffic waart

En inaktiven On-Demand-IPsec-Tunnel weist kee CHILD SA, bis e Paket mat senger Trap-Politik iwwereneenstemmt. Liest den Zoustand, préift den Ausléiser a wësst, wéini start passt.

Am Status-Output erschéngt kee CHILD SA, den Tunnel gesäit dout aus, an dann bréngt e Ping an dat wäit Subnetz en erop. An engem On-Demand-IPsec-Setup ass dës Reiefolleg d'Design, keen Defekt. Eng Trap-Politik installéiert e Selekter a waart, an dat éischt Paket, dat dozou passt, start IKE an d'CHILD SA-Verhandlung.

Een Deel vun der Konfusioun ass Vokabular: „up“ gëtt fir zwee verschidde Zustänn benotzt. D'Konfiguratioun ass gelueden an d'Kernelpolitik existéiert, d'Dateassociatioun awer net. E Monitor, deen nëmmen aktiv SAen zielt, mellt en gesonde Site als down, soulaang keen Traffic dohinner schéckt.

En inaktiven On-Demand-Tunnel huet kee CHILD SA ze weisen

En Trap-Antrag authentifizéiert vun sech aus näischt. En freet de Kernel, eng Politik fir den ausgewielten Traffic ze halen an eng Acquisition ze hiewen, wann e Paket dës Politik brauch. Den Daemon kritt d'Acquisition, gläicht se mat der child-Definitioun of a verhandelt vun do aus. Bis dohinner gëtt et och keng IKE SA ze weisen, dofir kënnen déi zwou Lëschten zur selwechter Zäit eidel sinn.

Dës Reiefolleg mécht d'Loggen liesbar. Als éischt kënnt d'Acquisition, dann IKE_SA_INIT an IKE_AUTH, dann de CHILD SA. Wann d'Log direkt no der Acquisition ophält, huet den Ausléiser geschafft. D'Verhandlung ass gescheitert, an déi nächst Fro geet ëm Umeldungsdaten, Virschléi oder Erreechbarkeet, net ëm den Trap.

Mat dem Linux-Kernel-Backend kënnt Dir d'Politik gesinn, ier iergendeen SA existéiert. Fëllt aus: ip xfrm policy a sicht de Selekter mat Richtung out an enger Schabloun, déi op d'Verbindung weist. Dee Posten ass den On-Demand-Zoustand, an seng Presenz ass dat Éischt, wat confirméiert muss ginn.

start_action entscheet, ob iwwerhaapt eppes waart

All child an swanctl.conf dréit start_action. start fänkt un, wann d'Konfiguratioun lued, trap installéiert d'Politik a waart, an none léisst den Ufank un eppes anescht. Nëmmen trap produzéiert d'“Ping-an-et-kënnt-erop”-Verhalen, dat uewe beschriwwen ass.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Déi zwou Traffic-Selekteren definéieren, wat als interessant gëllt, an e Paket vun engem Host baussent dëse Prefixen zünd den Trap net; et gëtt wéi gewinnt geroutet. D'Selekteren ze verbreeden, fir den Ausléiser méi gäreg ze maachen, verbreedert och de Beräich, deen den Tunnel behaapt ze schützen, also leet se aus Traffic of, deen Dir wierklech wëllt verschlësselen.

D'swanctl.conf-Referenz zielt déi akzeptéiert Wäerter op, zesumme mat den eenden close- an DPD-Aktiounen, déi reegelen, wat geschitt, wann den SA existéiert.

Fannt eraus, ob den Ausléiser iwwerhaapt ausgeléist huet

Fänkt mat swanctl --list-conns un a confirméiert, datt de child mat der virgesinnener Aktioun geluede gouf. Schéckt dunn ee Paket vun engem Host bannent local_ts op eng Adress bannent remote_ts a beobacht swanctl --list-sas. Wann den Output sech net ännert, ass keng Acquisition beim Daemon ukomm.

Zwee gewéinlech Grënn fir en stille Trap: d'Paket gouf source-NAT, ier et d'Politik getraff huet, a passt net méi zu local_ts, oder d'Verbindung gouf wéinst engem Syntax- oder Umeldungsfehler ni gelueden. Fëllt nach eng Kéier aus: swanctl --load-all a liest den Output, ier Dir d'Selekteren upackt. Eng Verbindung, déi net gelueden ass, installéiert keng Politik, also gëtt et näischt, wat den Traffic ausléise kéint.

D'Richtung zielt och: en Trap, deen fir erausgehende Traffic installéiert ass, fänkt net bei engem era kommende Paket un. Wann déi wäit Säit den Tunnel eropbrénge soll, brauch si hiren eegenen Trap, oder dës Säit brauch start.

Op dat éischt Paket ze waarden ass net ëmmer dee richtegen Tausch

Interaktiv Sessiounen spieren d'Setup-Käschten. Déi éischt Ufro bezuelt den IKE-Austausch an d'CHILD-Verhandlung, an e Client mat enger kuerzer Frist kann opginn, ier den SA existéiert. Proaktiv start hëlt déi éischt-Paket-Verzögerung ewech. Et hält awer en Tunnel op fir Traffic, dee vläicht ni ukommt.

Dräi Fakten entscheeden d'Wiel: wéi dacks de Wee benotzt gëtt, ob déi éischt Ufro eng enk Frist huet a ob de Peer beim Start erreechbar ass. Geleeëntlech Batch-Traffic an e Peer, dee beim Start vläicht offline ass, begënschtegen alleb trap. En latenzempfindleche Client an en ëmmer erreechbare Peer begënschtegen start. Wann béid Säiten ufänke kënnen, verständegt Iech, wien den Ausléiser huet, fir keng duebel Verhandlungen ze kréien.

Eng installéiert Politik ass och keng leeksécher Garantie. Wann d'Ufuerderung fail-closed ass, muss d'Firewall Traffic ouni SA verwerfen, an déi Regel lieft baussen der child-Definitioun.

Schreift déi dräi Zeilen op, déi déi nächst Diskussi fäerdeg maachen

Schreift d'Selekteren, d'Startaktioun an den Kommando-Output op, deen d'Politik ouni SA present weist. Déi dräi Zeilen trennen „on demand an inaktiv“ vu „lued net“ déi nächst Kéier, wann een den Tunnel als down mellt. Si kaschten eng Minutt. Ouni si fänkt déiselwecht Enquête vun Null un.

Test vun engem Host, deen wierklech bannent dem Selekter ass. E Ping vum Router selwer geet dacks en anere Wee a bewise näischt iwwer d'Politik, déi d'Subnetz hannendrun schützt.

Ähnlech Artikelen