Политиката на IPsec го голта вашиот локален сообраќај: како да го препознаете

Печатачот на бирото престанува да одговара во моментот кога тунелот се крева, и ништо во конфигурацијата на тунелот не го спомнува печатачот. Обично се случило тоа што заштитениот опсег бил напишан доволно широко за да го вклучи, па машината сега се обидува да шифрира сообраќај што требало да остане во локалниот сегмент. Читањето на инсталираната политика го објаснува пресретнувањето; нејзиното стеснување на вистинското место ја задржува заштитата на далечниот сообраќај. Патот од неуспешното барање до соодветната политика трае неколку минути.

Следете го текот пред да смените селектор

Започнете од неуспешното барање и запишете четири вредности: изворната адреса што ја користи машината, точната дестинација, рутата што ја избира јадрото и политиката што одговара на тој пар.

Овие четири факти одлучуваат дали пресретнувањето е намерно или случајно. Дестинација што паѓа во далечниот селектор е заштитена по дизајн, дури и ако дизајнот бил погрешен. Дестинација надвор од него што сепак се пресретнува значи дека се совпаѓа нешто друго, и менувањето на селекторот нема да помогне. Двата случаи се чести и ги разликува една единствена команда.

Направете го тоа пред да уредите било што, зашто интересниот случај е локалната подмрежа што се преклопува со приватен опсег што врската го штити. Познати префикси како 192.168.0.0/16 се појавуваат во многу мрежи, а селектор напишан за еден од нив може тивко да го покрие вашиот.

Три вида локално што се однесуваат различно

Дестинација доделена на овој хост, дестинација на истата врска и дестинација зад друг интерфејс се три различни случаи. Јадрото секој од нив го третира различно кога одлучува дали сообраќајот бара заштита.

Ни сообраќајот што го создава самиот портал не е исто како сообраќајот препратен од клиент. Политика што изгледа точна за препратен сообраќај може да ја пресретне сопствената административна сесија на порталот, и така администраторот губи пристап додека го поправа тунелот.

Корисната навика е да го именувате случајот на глас: доаѓа ли овој пакет од мене, оди ли на мојата врска или поминува низ мене? Секој одговор покажува на друго место за стеснување. Запишувањето на случајот исто така го спречува следниот човек да ја повтори истата работа.

Кога заштитениот опсег е цел приватен простор, сите три случаи можат да паднат во него одеднаш, и симптомот станува машина што не достигнува ништо освен крајната точка на тунелот.

Читајте ја инсталираната политика, не датотеката

Конфигурациските датотеки го опишуваат намерата; јадрото ги држи политиките што навистина се совпаѓаат. Прикажете ги двете и третирајте го несогласувањето како прв наод.

Овие команди ја покажуваат избраната рута до дестинацијата и инсталираните политики во секој правец:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Рутата ви кажува кој интерфејс би го користел пакетот. Списокот со политики ви кажува дали потоа се применува шаблон на тој пакет, а списокот со врски покажува кои селектори демонот смета дека ги инсталирал. Ако дестинацијата се појави во далечен селектор, го најдовте пресретнувањето без да погодувате.

Стеснете го селекторот или заобиколете ја дестинацијата

Има две поддржани поправки и тие одговараат на различни прашања. Стеснувањето на селекторот вели дека оваа врска штити само помал опсег, што е точно кога поширокиот опсег бил грешка. Додавањето заобиколување вели дека оваа конкретна дестинација никогаш не смее да биде заштитена, што е точно кога заштитениот опсег навистина е широк и една дестинација е исклучок.

Изберете ја првата кога можете, зашто помалиот селектор е полесно да се разбере и се гледа во дефиницијата на врската. Изберете ја втората кога широкиот опсег е намерен и исклучокот е еден хост или подмрежа што можете да ја именувате.

Двете ѝ припаѓаат на конфигурацијата што ја поседува врската. Правило во време на извршување додадено рачно исчезнува при следното повторно поврзување, и дефектот се враќа во момент кога никој веќе не се сеќава на заобиколното решение.

Исклучоци безбедни при преинсталација

По промената повторете го истото безопасно барање и погледнете ги истите бројачи. Локалната дестинација треба да одговори, а саканата далечна дестинација треба да продолжува да покажува шифриран сообраќај.

Овие две проверки потврдуваат дека исклучокот преживеал, а заштитата не:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Потоа намерно исклучете го и повторно поврзете го тунелот и повторете ги двете. Исклучок што работи пред повторното поврзување, а по него не успева, бил применет на погрешен слој, и тоа е најчестиот начин на кој овој проблем се враќа.