IPsec srauto selektoriai: ką jie apima ir ko ne

Srauto selektoriai įvardija vidinį srautą, kurį saugo IPsec susitarimas, o pora derinama, o ne daroma prielaida. Du galiniai taškai gali vienas kitą puikiai autentifikuoti ir vis tiek nesutarti, kurie paketai priklauso tunelio vidui. Šis nesutarimas nematomas ryšio būsenoje, kuri paprastai praneša apie sveiką tunelį. Selektorių skaitymas iš abiejų galų ir vieno paskirties taško sekimas suranda jį greičiau nei bet koks politikos redagavimas.

Skaitykite juos iš abiejų galų

Kiekvienas galinis taškas savo pusę apibūdina kaip vietinę, o kitą pusę kaip nutolusią. Todėl ta pati prefiksų pora abiejose konfigūracijose atrodo sukeista, ir tai teisinga, o ne prieštaringa. Perspektyvos apvertimas yra pirmas dalykas, kurį reikia padaryti, kai veikiantis susitarimas popieriuje atrodo neteisingai. Dviejų failų palyginimas greta jų nesukeičiant sukuria neatitikimą, kurio nėra.

Reikšmės ne visada yra atskiri potinkliai. IKEv2 selektoriai gali nešti adresų intervalus, protokolų numerius ir prievadų intervalus, ir taip politika apsaugo vieną paslaugą, o ne visą tinklą. Siauresnis nei numatytas srautas selektorius sukuria tunelį, kuris neša kai kuriuos paskirties taškus, o kitus tyliai pašalina.

Prieš ką nors keisdami, surašykite abi puses į vieną lentelę. Šis pratimas paprastai išsprendžia klausimą neliečiant konfigūracijos failo.

Susiaurinimas yra atsakančiojo sprendimas

Iniciatorius siūlo, o atsakantysis gali priimti tik poaibį. IKEv2 leidžia atsakančiajam susiaurinti pasiūlytus srauto selektorius, ir susiaurintas rezultatas yra tai, kas iš tikrųjų įdiegiama. Todėl iniciatoriaus konfigūracijos skaitymas aprašo pasiūlymą, o ne susitarimą.

Štai kodėl prie kliento pridėtas potinklis gali sukurti veikiantį tunelį, kuris vis tiek atmeta naują paskirties tašką. Serveris susiaurino pasiūlymą iki to, ką leidžia jo politika, o kliento failas vis dar išvardija platesnį intervalą. Tik suderinta būsena rodo tiesą: Linux sistemoje ip xfrm policy ir child SA sąrašas strongSwan IKEv2 dokumentacijoje praneša, kas įdiegta, o ne ko buvo prašyta. Kai abu nesutaria, keisti reikia atsakančiojo politiką.

Atmestas pasiūlymas yra kitoks simptomas nei susiaurintas. Atmetimas pasirodo derybų žurnale ir visiškai nepalieka child asociacijos.

Sekite vieną paskirties tašką nuo pradžios iki pabaigos

Pasirinkite tikrą paskirties tašką ir šaltinio adresą, kurį klientas jam naudotų, tada sekite šią porą per tris nepriklausomus sprendimus. Maršrutas pasirenka kelią, selektorius nusprendžia, ar tas kelias apsaugotas, o ugniasienė nusprendžia, ar paketas leidžiamas. Kiekvienas gali nepavykti atskirai, o platus selektorius nepataiso nė vieno iš kitų.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Maršruto užklausa įvardija sąsają ir šaltinio adresą, kurie neštų paketą. Politikos sąrašas rodo, ar tokiai porai yra atitinkama tunelio politika, įskaitant jos kryptį ir lygį. SA sąrašas rodo suderintus child selektorius kartu su skaitikliais, todėl child asociacija su nuliu paketų po srauto bandymo yra tų selektorių, kurie pašalina siunčiamą, parašas. Trys komandos, trys skirtingi atsakymai, ir tik vienas jų paaiškina tylų numetimą.

Jei child skaitikliai juda, o programa vis tiek nepavyksta, problema yra anapus tunelio. Tai perkelia tyrimą prie nutolusio hosto klausytojo ar ugniasienės, o ne prie selektorių.

Laikykite du tikslus atskirai

Biuromis potinklio apsauga ir viso naršymo siuntimas per nutolusią išėjimą yra skirtingi reikalavimai su skirtingais selektoriais. Vienam sukurtas profilis retai tinka kitam, o jų maišymas duoda arba nuotėkį, arba sulaužytą skaidymą. Apsaugoto intervalo išplėtimas reiškia abiejų galinių taškų ir jų persiuntimo politikos keitimą, nes vienpusis pakeitimas tampa atmestu pasiūlymu. Tai dažniausias būdas, kuriuo veikiantis tunelis nustoja veikti po nedidelio pakeitimo.

Selektoriai aprašo kriptografinę aprėptį, maršrutai pasirenka kelius, o programos vykdo savo leidimus. Tunelis, apimantis viską, vis tiek negali pasiekti paslaugos, susietos su loopback, o maršrutui į tunelį vis tiek reikia selektoriaus, apimančio paskirties tašką. Patikrinkite visus tris pagal tą pačią bandomąją užklausą, ir neatitikimas pats save įvardys.