IPsec селектори на сообраќај: што покриваат и што не

Селекторите на сообраќај го именуваат внатрешниот сообраќај што го штити еден IPsec договор, а парот се договара наместо да се претпоставува. Две крајни точки можат совршено да се автентифицираат една со друга и сепак да не се согласат кои пакети припаѓаат внатре во тунелот. Тоа несогласување е невидливо во состојбата на врската, која обично известува за здрав тунел. Читањето на селекторите од двата краја и потоа следењето на едно одредиште го наоѓа побрзо од било какво уредување на политиката.

Читајте ги од двата краја

Секоја крајна точка ја опишува својата страна како локална, а другата страна како оддалечена. Затоа истиот пар префикси се појавува заменет во двете конфигурации, и тоа е точно, а не противречно. Превртувањето на перспективата е првото нешто што треба да се направи кога работен договор изгледа погрешно на хартија. Споредбата на две датотеки една до друга без нивна замена создава несовпаѓање што не постои.

Вредностите не се секогаш поединечни подмрежи. IKEv2 селекторите можат да носат опсези на адреси, броеви на протокол и опсези на порти, и така политиката штити една услуга наместо цела мрежа. Селектор потесен од предвидениот сообраќај создава тунел што носи некои одредишта и тивко ги исклучува другите.

Запишете ги двете страни во една табела пред да промените нешто. Оваа вежба обично го решава прашањето без допирање на конфигурациска датотека.

Стеснувањето е одлука на одговорната страна

Иницијаторот предлага, а одговорната страна може да прифати само подмножество. IKEv2 ѝ дозволува на одговорната страна да ги стесни понудените селектори на сообраќај, и стеснетиот резултат е она што навистина се инсталира. Затоа читањето на конфигурацијата на иницијаторот опишува понуда, а не договорот.

Затоа подмрежа додадена на клиентот може да создаде работен тунел што сепак го одбива новото одредиште. Серверот ја стесни понудата до она што му го дозволува политиката, додека датотеката на клиентот сѐ уште го наведува поширокиот опсег. Само договорената состојба ја покажува вистината: на Linux, ip xfrm policy и списокот child SA во документацијата за IKEv2 на strongSwan известуваат што е инсталирано, а не што е побарано. Кога двете не се согласуваат, политиката на одговорната страна е таа што треба да се промени.

Одбиената понуда е различен симптом од стеснетата. Одбивањето се појавува во дневникот на преговори и воопшто не остава child асоцијација.

Следете едно одредиште од почеток до крај

Изберете вистинско одредиште плус изворната адреса што клиентот би ја користел за него, потоа следете го тој пар низ три независни одлуки. Рутата избира пат, селекторот одлучува дали тој пат е заштитен, а огнениот ѕид одлучува дали пакетот е дозволен. Секое може да пропадне само по себе, а широкиот селектор не поправа ниту едно од останатите.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Прашањето за рута ги именува интерфејсот и изворната адреса што би го носеле пакетот. Списокот на политики покажува дали постои соодветна тунелска политика за тој пар, вклучувајќи го нејзиниот правец и ниво. Списокот SA ги покажува договорените child селектори заедно со бројачи, па child асоцијација со нула пакети по обид за сообраќај е потписот на селектори што го исклучуваат она што се праќа. Три команди, три различни одговори, и само еден од нив објаснува тивко отфрлање.

Ако child бројачите се движат додека апликацијата сѐ уште не успева, проблемот е зад тунелот. Тоа ја преместува истрагата кон слушателот или огнениот ѕид на далечниот домаќин, а не кон селекторите.

Држете ги двете цели одвоени

Штитењето на канцелариска подмрежа и испраќањето на целото прелистување преку оддалечен излез се различни барања со различни селектори. Профил изграден за едното ретко одговара на другото, а нивното мешање дава или истекување, или скршено разделување. Проширувањето на заштитениот опсег значи промена на двете крајни точки и нивната политика на препраќање, бидејќи едностраната промена станува одбиена понуда. Тоа е најчестиот начин на кој работен тунел престанува да работи по мала измена.

Селекторите опишуваат криптографско покривање, рутите избираат патишта, а апликациите ги спроведуваат сопствените дозволи. Тунел што покрива сѐ сепак не може да достигне услуга врзана за loopback, а рутата во тунелот сепак бара селектор што го вклучува одредиштето. Проверете ги сите три на истото тест барање, и несовпаѓањето само ќе се именува.