Firwat eng IPsec-Sécherheetspolitik keng Entrée an der Routentabelle ass

Ping 10.20.0.5 duerch den Tunnel an et kënnt näischt zréck, wärend d’Routentabelle behaapt, datt dat Subnetz erreechbar ass. Routing an IPsec beäntwerten ënnerschiddlech Froen, a just eng dovun ass iwwer d’Erreechbarkeet. De Virwärts-Sich wielt e Wee, duerno entscheet d’Datebank vun der Sécherheetspolitik, ob dee Wee geschützt, esou gelooss oder refuséiert muss ginn. Wa béid sech widerspriechen, stierft de Pak still, dofir liest se an där Reihenfolge.

Fänkt mat der Sich un, net mat der Tabell

Frot de Kernel, wat en wierklech géif maachen: ip route get 10.20.0.5 dréckt déi gewielte Route, d’Ausgangsinterface an d’Quelladress, déi en géif benotzen. E Prefix, eng Politikregel, eng Mark oder eng bevorzugt Quell kënnen déi Äntwert änneren, dofir gewënnt d’live Sich iwwer d’Liesen vun der Tabell mat dem A.

Test en Zil bannent dem geschützte Beräich, net d’Gatewayadress. D’Gateway op der anerer Säit z’erreechen beweist just, datt et eng Route gëtt; et seet näischt iwwer d’Subnetz, dat Dir tatsächlech braucht. Bestätegt duerno, datt d’Interface, déi d’Sich gewielt huet, déi ass, déi Dir vum Tunnel erwaart.

Passt d’Selektoren op béide Säiten un

D’Politiksdatebank huet hir eegen Entréen, an all een nennt eng Richtung, eng Quell, en Zil an e Protokoll, a seet duerno, wat mat passende Päis soll geschéien. Benotzt ip xfrm policy fir se opzelëschten; d’Fändelen weisen, ob d’Aktioun Schutz, Ëmwee oder Block ass. Eng Politik, deenen hir Selektoren méi breet oder méi schmuel wéi Äre Testflux sinn, wäert net domat iwwerenee kommen, an de Pak geet ongeschützt eraus. Dat ass de Feeler, deen Dir sicht, net eng feelend Route.

Vergläicht déi tatsächlech Wäerter: Quell, Zil, Protokoll a Porten. Wann d’Sich eng Adresskoppel opgeléist huet, wärend d’Politiksentrée eng aner deckt, beschreiwen déi zwee Usiichten ënnerschiddlechen Trafik. Fuert béid nach eng Kéier mat der selwechter Tuple aus, ier Dir eng Conclusioun zitt, soss ännert Dir eng Politik, déi ni um Wee war.

Eng Politikpassung ass keen installéierten Zoustand

Eng passend Politik seet just, datt de Pak muss geschützt ginn; de Kernel brauch nach ëmmer eng Sécherheetsassociatioun fir de Schutz. Lëscht se mat ip xfrm state op, oder mat swanctl --list-sas, wann strongSwan d’Verhandlung féiert, a liest d’Selektoren an d’Zähler op all Entrée.

Wann eng Politik passt an keng Associatioun déi selwecht Selektoren deckt, gëtt de Pak verluert amplaz am kloeren Text geschéckt ze ginn. Dat ass de Verloscht, no deem Dir sicht, wann den Tunnel uewen ass awer een eenzegt Subnetz feelt. D’Zähler soen de Rescht: eng Associatioun déi ni klëmmt gouf ni gewielt, wärend eng déi klëmmt an awer an engem Verloscht endet op déi wäit Säit weist. Selektoren ze korrigéieren an Schlësselen z’erhéieren sinn ënnerschiddlech Reparaturen, dofir entscheet wéi eng Dir braucht, ier Dir d’Konfiguratioun ufässt.

Wat en routebaséierten Tunnel nach ëmmer verlaangt

Eng XFRM-Interface léisst den Tunnel wéi en Apparat ausgesinn, an deen Dir route kënnt, wat wierklech nëtzlech ass. Se hëlt awer net d’Politik an de Zoustand ewech, déi entscheeden, wat geschitt, wa de Pak do ukommt. D’Route bäidréit en nächsten Hop a soss näischt.

Wann den Apparat existéiert an d’Route dräi weist, awer keng Associatioun mat den inneren Selektoren iwwerenee kënnt, gëtt de Pak verluert, an nach esou vill Routebewäertung bréngt weder Schlësselen nach Selektoren. Kontrolléiert d’Interface mat der selwechter Quell an dem selwechten Zil, déi Dir geroutet hutt, a vergläicht dat dann mat der Zoustandslescht.

Kläert d’Eegentum, ier Dir eppes ännert

Eng Host-Firewall setzt eng drëtt Entscheedung derbäi, déi keng vun deenen zwou Datebanken kennt. Eng korrekt Route plus eng passend Politik plus eng installéiert Associatioun kënnen nach ëmmer an engem verluertene Pak enden, an d’Applikatioun mellt just den Timeout. Bestätegt, datt d’Firewall de geschützten Trafik erlaabt, ier Dir IPsec beschëllegt. D’Opzeechnung um Tunnelapparat an op der physescher Interface weist op wéi enger Säit vun der Verschlësselung de Pak verschwonnen ass.

D’Eegentum vun der Konfiguratioun entscheet, ob Är Korrektur en Neistart iwwerlieft. Eng Komponent ka Zoustand installéieren, wärend eng aner d’Routen verwalt, an eng Handännerung vun der zweeter gëtt iwwerschriwwen, wann den Tunnel dat nächst Kéier eropkënnt. Ännert d’Eegentumskonfiguratioun an liest dann béid Usiichten nach eng Kéier; RFC 4301 hält déi zwou Datebanken getrennt, wann Dir d’Deelung engem aneren erkläre musst.