XFRM noklusējuma maršruts aprīja IKE un ESP: saglabājiet ārējo ceļu

Satiksme ir aizsargāta, tunelis darbojas, un tad tas mirst nākamajā atslēgu atjauninājumā. Noklusējuma maršruts caur XFRM saskarni aprakstīja satiksmi, ko gribējāt aizsargāt. Tas aprīja arī paketes, kas vajadzīgas aizsardzības turpināšanai.

Abi iesaistītie galamērķi nav aizvietojami. Maršrutēšanai tas jāsaka skaidri.

Kur īstenībā nonāk partnera meklēšana

Pierakstiet aktīvos noteikumus, tabulu ar XFRM maršrutu un partnera publisko adresi. Pēc tam apskatiet ceļu, kuru ārējais savienojums izvēlētos ar savu īsto avotu un atzīmi. Vispārīgs galamērķis neko nepasaka par šo vadības ceļu. Tikai īstais avots un atzīme dod lietderīgu atbildi.

Veiksmīgs sākotnējais savienojums arī daudz ko nepierāda. Kļūme bieži parādās pēc tam, kad maršruta instalēšana maina atbildi. Startēšana izdodas, bet pirmais atjauninājums vairs ne.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ja partnera meklēšana nonāk XFRM saskarnē, ārējās paketes tiek maršrutētas tunelī, ko tās pašas būvē. Tas ir cilpa, redzama ar vienu komandu.

Izslēgšanas iespējas mūsdienīgā vārtejā

strongSwan maršrutēšanā balstīta VPN dokumentācija piedāvā divas praktiskas atbildes. Viena atzīmē IKE un ESP, lai noteikums uz XFRM tabulu uz tiem neattiektos. Otra atstāj partnera maršrutu vai izslēgumu, ko meklēšana vēl var sasniegt.

Izvēlieties to, ko jūsu noteikumu kopa spēj izteikt bez blakusefektiem. Atzīme ir tīra, ja pārējais steks jau lieto atzīmes. Tā ir bīstama, ja tā pati maska citā noteikumā nozīmē ko citu. Abiem pakešu tipiem tas apstrāde tik un tā vajadzīga.

Atzīmējot tikai IKE, datu paketes paliek notvertajā ceļā. Tas rada tuneli, kas veic rokasspiedienu un pēc tam neko nenes.

Atzīme ir viens bits paketes fwmark laukā, uz kuru vārtejā nekas cits nepretendē: 0x1 ar masku 0x1 ir ierastā izvēle, un tā jāiestata divās vietās, lai izslēgums darbotos. Charon to vajag IKE ligzdā, un bērna savienojuma ienākošās un izejošās atzīmes iestatījumiem vajadzīga tā pati vērtība, lai arī iekapsulētās paketes izietu atzīmētas. Maska 0x1, nevis 0xffffffff, atstāj pārējos bitus brīvus, kas ir svarīgi, ja cita apakšsistēma tajā pašā hostā jau atzīmē paketes. Kad abi ir iestatīti, noteikums tiek rakstīts kā izslēgums, tāpēc atzīmētās paketes izlaiž tabulu ar XFRM maršrutu un nonāk galvenajā tabulā:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Pēc tam nolasiet atbildi ar piemērotu atzīmi. Bez tās jūs pārbaudāt ceļu, kuru iet aizsargātā satiksme, kas ir pretēji šīs sadaļas jautājumam.

Ko automātiskā instalēšana pieņem par būvējumu

Automātiska maršruta instalēšana XFRM saskarnei atkarīga no strongSwan versijas un tās konfigurācijas. Saskarnes ID, instalētā politika un asociācija visiem jānorāda uz paredzētajiem objektiem. Neatbilstība parādās kā maršruts, kas klusi norāda uz kaut ko reālu.

Tabulas numura vai atzīmes maskas kopēšana no citas vārtejas ir veids, kā sākas sadursmes. Vispirms pārbaudiet, kas to jau izmanto. Sadursme ietekmē satiksmi daudz tālāk par tuneli, ko gribējāt mainīt, un simptoms reti norāda uz kopiju.

Partnera adreses izmaiņas ir daļa no dizaina. Hostam paredzēts maršruts vakarējai adresei nav gala punkta atjaunošanas plāns, savukārt atzīme šo izmaiņu pārdzīvo.

Vērojiet pirmo atjauninājumu

Pārbaudiet ārējo ceļu pēc tam, kad aizsargātie maršruti ir instalēti, nevis pirms tam. Pēc tam vērojiet nākamo atjauninājumu un vienu lietojumprogrammas apmaiņu. Kļūme parasti parādās šajā pārejā, nevis startēšanā.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Aizsargātā noklusējuma maršruta īslaicīga noņemšana parasti atjauno savienojumu. Šis rezultāts ir diagnostisks, nevis galīgs.

Mērķis ir stabils dalījums starp iekšējo satiksmi un ārējām paketēm, kas to nes. Ierakstiet izvēlēto mehānismu un tā tabulu vai atzīmi vārtejas piezīmēs. Pretējā gadījumā nākamais cilvēks, kas aizskars noteikumus, atkal ieviesīs cilpu.