IPsec politika aprij jūsu lokālo satiksmi: kā to atpazīt

Printeris uz galda pārstāj atbildēt tajā brīdī, kad tuneļa savienojums tiek pacelts, un nekas tuneļa konfigurācijā printeri nemin. Parasti ir noticis tas, ka aizsargātais diapazons tika ierakstīts pietiekami plats, lai to ietvertu, tāpēc mašīna tagad mēģina šifrēt satiksmi, kurai bija jāpaliek lokālajā segmentā. Instalētās politikas lasīšana izskaidro pārtveršanu; tās sašaurināšana pareizajā vietā saglabā attālās satiksmes aizsardzību. Ceļš no neveiksmīgā pieprasījuma līdz atbilstošajai politikai aizņem dažas minūtes.

Izsekojiet plūsmai, pirms maināt selektoru

Sāciet ar neveiksmīgo pieprasījumu un pierakstiet četras vērtības: avota adresi, ko izmanto mašīna, precīzu galamērķi, maršrutu, ko izvēlas kodols, un politiku, kas atbilst šim pārim.

Šie četri fakti izlemj, vai pārtveršana ir tīša vai nejauša. Galamērķis, kas iekrīt attālajā selektorā, ir aizsargāts pēc projekta, pat ja projekts bija kļūdains. Galamērķis ārpus tā, kas tomēr tiek pārtverts, nozīmē, ka sakrīt kaut kas cits, un selektora maiņa nepalīdzēs. Abi gadījumi ir izplatīti, un tos atšķir viena komanda.

Dariet to pirms kaut ko rediģējat, jo interesantais gadījums ir lokālais apakštīkls, kas pārklājas ar privāto diapazonu, kuru aizsargā savienojums. Pazīstami prefiksi, piemēram, 192.168.0.0/16, parādās daudzos tīklos, un selektors, kas rakstīts vienam no tiem, var klusi aptvert jūsējo.

Trīs lokālā veidi, kas uzvedas atšķirīgi

Galamērķis, kas piešķirts šim hostam, galamērķis tajā pašā saitē un galamērķis aiz citas saskarnes ir trīs dažādi gadījumi. Kodols katru no tiem apstrādā atšķirīgi, kad izlemj, vai satiksmei nepieciešama aizsardzība.

Arī paša vārtejas ģenerētā satiksme nav tas pats, kas no klienta pārsūtītā satiksme. Politika, kas izskatās pareiza pārsūtītajai satiksmei, var pārtvert pašu vārtejas administrēšanas sesiju, un tā administrators zaudē piekļuvi, kamēr labo tuneli.

Noderīgs ieradums ir skaļi nosaukt gadījumu: vai šis pakets nāk no manis, iet uz manu saiti vai iet caur mani? Katra atbilde norāda uz citu vietu, kur sašaurināt. Gadījuma pierakstīšana arī neļauj nākamajam cilvēkam veikt to pašu darbu no jauna.

Kad aizsargātais diapazons ir visa privātā telpa, visi trīs gadījumi tajā var iekrist vienlaikus, un simptoms kļūst mašīna, kas nesasniedz neko, izņemot tuneļa galapunktu.

Lasiet instalēto politiku, nevis failu

Konfigurācijas faili apraksta nodomu; kodols glabā politikas, kas faktiski sakrīt. Parādiet abus un neatbilstību uzskatiet par pirmo atradumu.

Šīs komandas parāda izvēlēto maršrutu uz galamērķi un instalētās politikas katrā virzienā:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Maršruts pasaka, kuru saskarni pakets izmantotu. Politiku saraksts pasaka, vai pēc tam šim paketam tiks piemērota veidne, un savienojumu saraksts parāda, kurus selektorus dēmons uzskata par instalētiem. Ja galamērķis parādās attālajā selektorā, jūs atradāt pārtveršanu, neuzminot.

Sašauriniet selektoru vai apejiet galamērķi

Ir divi atbalstīti labojumi, un tie atbild uz dažādiem jautājumiem. Selektora sašaurināšana nozīmē, ka šis savienojums aizsargā tikai mazāku diapazonu, kas ir pareizi, ja platākais diapazons bija kļūda. Apiešanas pievienošana nozīmē, ka šis konkrētais galamērķis nekad nav jāaizsargā, kas ir pareizi, ja aizsargātais diapazons tiešām ir plats un viens galamērķis ir izņēmums.

Izvēlieties pirmo, kad varat, jo mazāku selektoru ir vieglāk pārdomāt, un tas ir redzams savienojuma definīcijā. Izvēlieties otro, kad platais diapazons ir apzināts un izņēmums ir viens hosts vai apakštīkls, kuru varat nosaukt.

Abi pieder konfigurācijai, kurai pieder savienojums. Izpildlaika noteikums, kas pievienots ar roku, pazūd nākamajā atkārtotajā savienojumā, un kļūme atgriežas brīdī, kad neviens vairs neatceras apiešanas risinājumu.

Izņēmumi, kas pārdzīvo pārinstalēšanu

Pēc izmaiņām atkārtojiet to pašu nekaitīgo pieprasījumu un apskatiet tos pašus skaitītājus. Lokālajam galamērķim vajadzētu atbildēt, un paredzētajam attālajam galamērķim joprojām jārāda šifrēta satiksme.

Šīs divas pārbaudes apstiprina, ka izņēmums izdzīvoja, bet aizsardzība nē:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Pēc tam apzināti atvienojiet un atkal pievienojiet tuneli un atkārtojiet abas. Izņēmums, kas darbojas pirms atkārtotās savienošanas un neizdodas pēc tam, tika piemērots nepareizajam slānim, un tas ir visizplatītākais veids, kā šī problēma atgriežas.