Kāpēc IPsec drošības politika nav maršrutu tabulas ieraksts

Nosūtiet ping uz 10.20.0.5 caur tuneli, un nekas neatgriežas, kamēr maršrutu tabula uzstāj, ka šis apakštīkls ir sasniedzams. Maršrutēšana un IPsec atbild uz dažādiem jautājumiem, un tikai viens no tiem ir par sasniedzamību. Uz priekšu vērstā meklēšana izvēlas ceļu, pēc tam drošības politikas datubāze izlemj, vai šis ceļš ir jāaizsargā, jāatstāj kā ir vai jānoraida. Kad abi nesaskan, pakete klusi mirst, tāpēc lasiet tos šajā secībā.

Sāciet ar meklēšanu, nevis tabulu

Pajautājiet kodolam, ko tas patiešām darītu: ip route get 10.20.0.5 izdrukā izvēlēto maršrutu, izejošo saskarni un avota adresi, ko tas izmantotu. Prefikss, politikas noteikums, atzīme vai vēlamais avots var mainīt šo atbildi, tāpēc dzīvā meklēšana pārspēj tabulas lasīšanu ar aci.

Pārbaudiet galamērķi aizsargātajā diapazonā, nevis vārtejas adresi. Sasniegt otrpus esošo vārteju pierāda tikai to, ka kāds maršruts pastāv; tas neko nepasaka par apakštīklu, kas jums patiešām vajadzīgs. Pēc tam apstipriniet, ka meklēšanas izvēlētā saskarne ir tā, kuru gaidāt, ka tunelis izmantos.

Saskaņojiet selektorus abās pusēs

Politikas datubāzei ir savi ieraksti, un katrs nosauc virzienu, avotu, galamērķi un protokolu, pēc tam pasaka, kas jādara ar atbilstošajām paketēm. Izmantojiet ip xfrm policy, lai tos uzskaitītu; karodziņi parāda, vai darbība ir aizsardzība, apiešana vai bloķēšana. Politika, kuras selektori ir plašāki vai šaurāki par jūsu testa plūsmu, tam neatbilst, un pakete iziet neaizsargāta. Tas ir tas bojājums, ko meklējat, nevis trūkstošs maršruts.

Salīdziniet faktiskās vērtības: avotu, galamērķi, protokolu un portus. Ja meklēšana atrisināja vienu adrešu pāri, kamēr politikas ieraksts aptver citu, abi skati apraksta atšķirīgu satiksmi. Pirms secinājuma izdarīšanas palaidiet abus vēlreiz ar to pašu kortežu, citādi rediģēsiet politiku, kas nekad nav bijusi ceļā.

Politikas atbilstība nav instalēts stāvoklis

Atbilstoša politika tikai saka, ka pakete ir jāaizsargā; kodolam joprojām vajadzīga drošības asociācija, lai veiktu aizsardzību. Uzskaitiet tās ar ip xfrm state vai ar swanctl --list-sas, kad sarunas vada strongSwan, un izlasiet katra ieraksta selektorus un skaitītājus.

Kad politika atbilst un neviena asociācija neaptver tos pašus selektorus, pakete tiek izmesta, nevis nosūtīta atklātā tekstā. Tas ir tas izmetums, kas jāmeklē, kad tunelis ir augšā, bet viens apakštīkls neizdodas. Skaitītāji pasaka pārējo: asociācija, kas nekad nepieaug, nekad nav izvēlēta, bet tā, kas pieaug un tomēr beidzas ar izmetumu, norāda uz attālo pusi. Selektoru labošana un atslēgu atjaunošana ir dažādi labojumi, tāpēc izlemiet, kurš jums vajadzīgs, pirms aiztiecat konfigurāciju.

Ko maršruta balstīts tunelis joprojām prasa

XFRM saskarne liek tunelim izskatīties kā ierīcei, uz kuru var maršrutēt, un tas patiešām ir noderīgi. Tā neizņem politiku un stāvokli, kas izlemj, kas notiek, kad pakete tur nonāk. Maršruts dod nākamo lēcienu un neko vairāk.

Ja ierīce pastāv un maršruts norāda uz to, bet neviena asociācija neatbilst iekšējiem selektoriem, pakete tiek izmesta, un nekāds maršrutu rediģējums nerada atslēgas vai selektorus. Pārbaudiet saskarni ar to pašu avotu un galamērķi, ko maršrutējāt, pēc tam salīdziniet to ar stāvokļu sarakstu.

Noskaidrojiet īpašumtiesības, pirms kaut ko rediģējat

Resursdatora ugunsmūris pievieno trešo lēmumu, par kuru nezina neviena no abām datubāzēm. Pareizs maršruts plus atbilstoša politika plus instalēta asociācija joprojām var beigties ar izmestu paketi, un lietojumprogramma ziņo tikai par taimautu. Pirms vainojat IPsec, apstipriniet, ka ugunsmūris atļauj aizsargāto satiksmi. Uztveršana tuneļa ierīcē un fiziskajā saskarnē parāda, kurā šifrēšanas pusē pakete pazuda.

Konfigurācijas īpašumtiesības izlemj, vai jūsu labojums pārdzīvos restartu. Viens komponents var instalēt stāvokli, kamēr cits pārvalda maršrutus, un otrā manuāls labojums tiek pārrakstīts nākamajā reizē, kad tunelis paceļas. Mainiet īpašnieka konfigurāciju, pēc tam vēlreiz izlasiet abus skatus; RFC 4301 tur abas datubāzes atsevišķi, kad jums tas sadalījums kādam citam jāpaskaidro.