XFRM-Standardroute huet IKE an ESP verschlunn: hal den äussere Pad

Den Trafic ass geschützt, den Tunnel ass op, an dann stierft en bei der nächster Schlësselerneierung. Eng Standardroute duerch d'XFRM-Interface huet den Trafic beschriwwen, deen Dir schütze wëllt. Si huet och d'Pakete verschlunn, déi néideg sinn, fir de Schutz weiderzeféieren.

Déi zwee betraffe Destinatioune sinn net austauschbar. D'Routing muss dat explizit soen.

Wouhi d'Peer-Sich tatsächlech geet

Halt déi aktiv Reegelen, d'Tabell mat der XFRM-Route an d'ëffentlech Peer-Adress fest. Kuckt dann de Pad, deen d'äusseren Verbindung mat hirer richteger Quell a Markéierung huelen géif. Eng allgemeng Destinatioun seet Iech näischt iwwer dee Kontrollpad. Nëmmen déi tatsächlech Quell a Markéierung ginn eng nëtzlech Äntwert.

Eng erfollegräich éischt Verbindung beweist och wéineg. De Feeler erschéngt dacks, nodeems eng Routeinstallatioun d'Äntwert geännert huet. Den Start geléngt, duerno déi éischt Erneierung net.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Wann d'Sich no dem Peer an d'XFRM-Interface opgeet, ginn déi äusser Paketen an den Tunnel geroutet, deen se selwer bauen. Dat ass d'Schläif, sichtbar an engem eenzegen Uerder.

Ausschlossungsoptiounen op engem moderne Gateway

D'Dokumentatioun vum strongSwan iwwer routebaséierte VPN presentéiert zwou praktesch Äntwerten. Eng markéiert IKE an ESP, sou datt d'Reegel op d'XFRM-Tabell net op si passt. Déi aner loosst eng Peer-Route oder en Ausschloss stoen, deen d'Sich nach erreeche kann.

Hëlt déi, déi Äre Reegelset ouni Niewenwirkungen ausdrécke kann. Eng Markéierung ass propper, wann de Rescht vum Stack schonn Markéierungen notzt. Si ass eng Gefor, wann déiselwecht Mask an enger anerer Reegel eppes anescht bedeit. Béid Pakettypen brauchen d'Behandlung souwisou.

Nëmmen IKE ze markéieren loosst d'Datenpaketen um gefangene Pad. Dat gëtt en Tunnel, deen en Handshake mécht an duerno näischt dréit.

D'Markéierung ass ee Bit am fwmark vum Paket, deen näischt anescht um Gateway uspricht: 0x1 mat Mask 0x1 ass déi üblech Wiel, an et muss op zwou Plaze gesat ginn, fir datt den Ausschloss funktionnéiert. Den Charon brauch et um IKE-Socket, an d'Astellunge fir déi an- an déi ausgäng Markéierung vun der Kandverbindung brauchen dee selwechte Wäert, sou datt och encapsuléiert Paketen markéiert erausginn. Eng Mask vun 0x1 amplaz 0xffffffff loosst déi reschtlech Bits fräi, wat zielt, wann en anert Subsystem op deemselwechte Host schonn Paketen markéiert. Wann béid gesat sinn, gëtt d'Reegel als Ausschloss geschriwwen, sou datt markéiert Paketen d'Tabell mat der XFRM-Route iwwersprangen an an d'Haapttabell falen:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Liest dann d'Äntwert mat der Markéierung ugewannt. Ouni si ënnersicht Dir de Pad, deen de geschützten Trafic hëlt, wat d'Géigendeel vun der Fro vun dësem Abschnitt ass.

Wat d'automatesch Installatioun iwwer de Build unhëlt

Automatesch Routeinstallatioun fir eng XFRM-Interface hänkt vun der strongSwan-Versioun an hirer Konfiguratioun of. D'Interface-ID, déi installéiert Politik an d'Associatioun mussen all op déi virgesinn Objeten hiweisen. Eng Onstëmmegkeet weist sech als Route, déi stëll op eppes Reales weist.

Eng Tabellennummer oder eng Markéierungsmask vun engem aneren Gateway ze kopéieren ass de Wee, wéi Kollisiounen ufänken. Préift éischt, wat se schonn notzt. Eng Kollisioun beaflosst Trafic wäit iwwer den Tunnel eraus, deen Dir wëllt änneren, an de Symptom weist seelen op d'Kopie.

Ännerunge vun der Peer-Adress gehéieren an den Design. Eng Host-Route fir d'Adress vun gëschter ass keen Erhuelungsplang fir den Endpunkt, wärend eng Markéierung déi Ännerung iwwerlieft.

Passt op déi éischt Erneierung

Préift den äussere Pad, nodeems déi geschützt Routen installéiert sinn, net virdrun. Passt dann op déi nächst Erneierung an een Applikatiounsaustausch. De Feeler erschéngt meeschtens bei deem Iwwergang an net beim Start.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Déi geschützt Standardroute temporär ewechhuelen stellt d'Verbindung meeschtens erëm hier. D'Resultat ass diagnostesch, net definitiv.

D'Zil ass eng stabil Trennung tëscht banneschten Trafic an den äussere Pakete, déi en droen. Schreift de gewielte Mechanismus an seng Tabell oder Markéierung an d'Notize vum Gateway. Soss wäert déi nächst Persoun, déi d'Reegelen ufasst, d'Schläif nees aféieren.