IPsec politika ryja jūsų vietinį srautą: kaip tai atpažinti

Spausdintuvas ant stalo nustoja atsakinėti tuo metu, kai pakyla tunelis, ir niekas tunelio konfigūracijoje nemini spausdintuvo. Dažniausiai atsitiko taip, kad apsaugotas diapazonas buvo užrašytas pakankamai platus, kad jį apimtų, todėl mašina dabar bando šifruoti srautą, kuris turėjo likti vietiniame segmente. Įdiegtos politikos skaitymas paaiškina perėmimą; jos susiaurinimas tinkamoje vietoje išlaiko nuotolinį srautą apsaugotą. Kelias nuo nepavykusios užklausos iki atitinkančios politikos trunka kelias minutes.

Atsekite srautą prieš keisdami selektorių

Pradėkite nuo nepavykusios užklausos ir užsirašykite keturias reikšmes: šaltinio adresą, kurį naudoja mašina, tikslią paskirties vietą, maršrutą, kurį pasirenka branduolys, ir politiką, atitinkančią tą porą.

Šie keturi faktai nusprendžia, ar perėmimas yra tyčinis, ar atsitiktinis. Paskirties vieta, patenkanti į nuotolinį selektorių, yra apsaugota pagal projektą, net jei projektas buvo klaidingas. Paskirties vieta už jo ribų, kuri vis tiek perimama, reiškia, kad sutampa kažkas kita, ir selektoriaus keitimas nepadės. Abu atvejai dažni, ir juos skiria viena komanda.

Padarykite tai prieš ką nors redaguodami, nes įdomus atvejis yra vietinis potinklis, kuris persidengia su privačiu diapazonu, kurį saugo ryšys. Pažįstami prefiksai, tokie kaip 192.168.0.0/16, pasitaiko daugelyje tinklų, o selektorius, parašytas vienam iš jų, gali tyliai apimti jūsų.

Trys vietinio rūšys, kurios elgiasi skirtingai

Paskirties vieta, priskirta šiam hostui, paskirties vieta toje pačioje jungtyje ir paskirties vieta už kitos sąsajos yra trys skirtingi atvejai. Branduolys kiekvieną jų traktuoja skirtingai, kai nusprendžia, ar srautui reikia apsaugos.

Pačios tinklų sietuvos generuojamas srautas taip pat nėra tas pats, kas iš kliento persiunčiamas srautas. Politika, kuri atrodo teisinga persiunčiamam srautui, gali perimti pačią sietuvos administravimo sesiją, ir taip administratorius praranda prieigą, kol taiso tunelį.

Naudingas įprotis yra garsiai įvardyti atvejį: ar šis paketas ateina iš manęs, eina į mano jungtį, ar praeina per mane? Kiekvienas atsakymas nurodo kitą vietą susiaurinti. Atvejo užrašymas taip pat neleidžia kitam žmogui atlikti to paties darbo iš naujo.

Kai apsaugotas diapazonas yra visa privati erdvė, visi trys atvejai gali į jį patekti vienu metu, ir simptomu tampa mašina, kuri nepasiekia nieko, išskyrus tunelio galinį tašką.

Skaitykite įdiegtą politiką, o ne failą

Konfigūracijos failai aprašo ketinimą; branduolys laiko politikas, kurios iš tikrųjų sutampa. Parodykite abu ir neatitikimą laikykite pirmuoju radiniu.

Šios komandos rodo pasirinktą maršrutą iki paskirties vietos ir įdiegtas politikas kiekviena kryptimi:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Maršrutas pasako, kurią sąsają paketas naudotų. Politikų sąrašas pasako, ar tada šiam paketui bus pritaikytas šablonas, o ryšių sąrašas rodo, kuriuos selektorius demonas mano įdiegęs. Jei paskirties vieta atsiranda nuotoliniame selektoriuje, radote perėmimą neatspėdami.

Susiaurinkite selektorių arba apeikite paskirties vietą

Yra du palaikomi pataisymai, ir jie atsako į skirtingus klausimus. Selektoriaus susiaurinimas sako, kad šis ryšys saugo tik mažesnį diapazoną, o tai teisinga, kai platesnis diapazonas buvo klaida. Apėjimo pridėjimas sako, kad ši konkreti paskirties vieta niekada neturi būti saugoma, o tai teisinga, kai apsaugotas diapazonas iš tikrųjų platus, o viena paskirties vieta yra išimtis.

Rinkitės pirmąjį, kai galite, nes mažesnį selektorių lengviau apmąstyti ir jis matomas ryšio aprašyme. Rinkitės antrąjį, kai platus diapazonas yra sąmoningas, o išimtis yra vienas hostas arba potinklis, kurį galite įvardyti.

Abu priklauso konfigūracijai, kuriai priklauso ryšys. Vykdymo metu rankiniu būdu pridėta taisyklė išnyksta per kitą prisijungimą, ir gedimas grįžta tuo metu, kai niekas nebeprisimena apėjimo.

Išimtys, atsparios perįdiegimui

Po pakeitimo pakartokite tą pačią nekenksmingą užklausą ir pažiūrėkite į tuos pačius skaitiklius. Vietinė paskirties vieta turėtų atsakyti, o numatyta nuotolinė paskirties vieta turėtų ir toliau rodyti šifruotą srautą.

Šie du patikrinimai patvirtina, kad išimtis išliko, o apsauga ne:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Tada sąmoningai atjunkite ir vėl prijunkite tunelį ir pakartokite abu. Išimtis, kuri veikia prieš prisijungimą ir nepavyksta po jo, buvo pritaikyta ne tam sluoksniui, ir tai yra dažniausias būdas, kuriuo ši problema grįžta.