IPsec datu plūsmas selektori: ko tie aptver un ko ne

Datu plūsmas selektori nosauc iekšējo plūsmu, ko aizsargā IPsec vienošanās, un pāris tiek saskaņots, nevis pieņemts. Divi galapunkti var lieliski autentificēt viens otru un tomēr nepiekrist, kuri paketes pieder tuneļa iekšpusei. Šī nesaskaņa nav redzama savienojuma stāvoklī, kas parasti ziņo par veselu tuneli. Selektoru lasīšana no abiem galiem un pēc tam viena galamērķa izsekošana atrod to ātrāk nekā jebkāda politikas rediģēšana.

Lasiet tos no abiem galiem

Katrs galapunkts apraksta savu pusi kā lokālu un otru pusi kā attālu. Tāpēc viens un tas pats prefiksu pāris abās konfigurācijās izskatās samainīts, un tas ir pareizi, nevis pretrunīgi. Perspektīvas apvēršana ir pirmā lieta, kas jādara, kad strādājoša vienošanās uz papīra izskatās nepareizi. Divu failu salīdzināšana blakus, tos nesamainot, rada neatbilstību, kuras nav.

Vērtības ne vienmēr ir atsevišķi apakštīkli. IKEv2 selektori var pārnēsāt adrešu diapazonus, protokolu numurus un portu diapazonus, un tā politika aizsargā vienu pakalpojumu, nevis visu tīklu. Šaurāks par paredzēto plūsmu selektors rada tuneli, kas pārnēsā dažus galamērķus un klusi izslēdz citus.

Pirms kaut ko mainīt, ierakstiet abas puses vienā tabulā. Šis vingrinājums parasti atrisina jautājumu, nepieskaroties konfigurācijas failam.

Sašaurināšana ir atbildētāja lēmums

Iniciators ierosina, un atbildētājs var pieņemt tikai apakškopu. IKEv2 ļauj atbildētājam sašaurināt piedāvātos datu plūsmas selektorus, un sašaurinātais rezultāts ir tas, kas faktiski tiek instalēts. Tāpēc iniciatora konfigurācijas lasīšana apraksta piedāvājumu, nevis vienošanos.

Tāpēc klientam pievienots apakštīkls var radīt strādājošu tuneli, kas tomēr atsakās no jaunā galamērķa. Serveris sašaurināja piedāvājumu līdz tam, ko pieļauj tā politika, kamēr klienta fails joprojām uzskaita plašāko diapazonu. Tikai saskaņotais stāvoklis parāda patiesību: Linux sistēmā ip xfrm policy un child SA saraksts strongSwan IKEv2 dokumentācijā ziņo, kas instalēts, nevis kas pieprasīts. Kad abi atšķiras, mainīt jāmaina atbildētāja politika.

Noraidīts piedāvājums ir cits simptoms nekā sašaurināts. Noraidījums parādās sarunu žurnālā un vispār neatstāj child asociāciju.

Sekojiet vienam galamērķim no sākuma līdz beigām

Izvēlieties reālu galamērķi un avota adresi, ko klients tam izmantotu, tad vediet šo pāri cauri trim neatkarīgiem lēmumiem. Maršruts izvēlas ceļu, selektors izlemj, vai šis ceļš ir aizsargāts, un ugunsmūris izlemj, vai pakete ir atļauta. Katrs var neizdoties atsevišķi, un plašs selektors nesalabo nevienu no pārējiem.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Maršruta vaicājums nosauc saskarni un avota adresi, kas pārnēsātu paketi. Politikas saraksts parāda, vai šim pārim pastāv atbilstoša tuneļa politika, ieskaitot tās virzienu un līmeni. SA saraksts parāda saskaņotos child selektorus kopā ar skaitītājiem, tāpēc child asociācija ar nulli pakešu pēc plūsmas mēģinājuma ir to selektoru paraksts, kas izslēdz sūtāmo. Trīs komandas, trīs dažādas atbildes, un tikai viena no tām izskaidro klusu nomešanu.

Ja child skaitītāji kustas, kamēr lietojumprogramma joprojām neizdodas, problēma ir aiz tuneļa. Tas pārvieto izmeklēšanu uz attālā resursdatora klausītāju vai ugunsmūri, nevis uz selektoriem.

Turiet abus mērķus atsevišķi

Biroja apakštīkla aizsardzība un visas pārlūkošanas sūtīšana caur attālu izeju ir dažādas prasības ar dažādiem selektoriem. Vienam veidots profils reti der otram, un to sajaukšana dod vai nu noplūdi, vai salauztu sadalījumu. Aizsargātā diapazona paplašināšana nozīmē mainīt abus galapunktus un to pārsūtīšanas politiku, jo vienpusējas izmaiņas kļūst par noraidītu piedāvājumu. Tas ir visbiežākais veids, kā strādājošs tunelis pārstāj strādāt pēc neliela labojuma.

Selektori apraksta kriptogrāfisko pārklājumu, maršruti izvēlas ceļus, un lietojumprogrammas īsteno savas atļaujas. Tunelis, kas aptver visu, joprojām nevar sasniegt pakalpojumu, kas saistīts ar loopback, un maršrutam tunelī joprojām vajag selektoru, kas ietver galamērķi. Pārbaudiet visus trīs pret to pašu testa pieprasījumu, un neatbilstība pati sevi nosauks.