IPsec со повеќе подмрежи губи повратен сообраќај? Пребројте reqid

Сообраќајот ја напушта едната локација и никогаш не се враќа, двата порти известуваат за завршено договарање, а единствената трага е куп излезни пакети без одговори. На Linux крајна точка вообичаената причина не е јачината на криптирањето, MTU или табела за рутирање. Тоа е грануларноста на записите во политиката и бројот што ја поврзува секоја политика со безбедносна асоцијација. Постапката подолу ги чита тие две бази пред да допре нешто друго.

Одделете го симптомот пред да промените нешто

Еднонасочен дефект со завршено IKE договарање го сведува проблемот на патеката на податоците. Или излезната политика се совпаднала и одговорот бил отфрлен, или одговорот никогаш не пристигнал затоа што другата страна немала со што да го прати. Од апликација двата случаи изгледаат исто, а базите xfrm ги разликуваат.

Не почнувајте со MTU. Погрешен MTU дава застој и симптоми на фрагментација, а не чисто разделување на насоките со растечки излезни бројачи.

Прочитајте ја базата со политики и базата со состојби

На Linux криптирањето го одредуваат записите во политиката, затоа соодветна политика, а не рута, става пакет во тунелот. Стартувајте ip xfrm policy за да ги видите селекторите, насоката, приоритетот и шаблонот на секој запис, и ip xfrm state за да ги видите воспоставените асоцијации со нивните reqid. Политиката и асоцијацијата се поврзани преку тој reqid.

Погледнете ги сите три насоки. Излезната и влезната го покриваат сообраќајот кон и од овој домаќин; насоката на препраќање е важна кога домаќинот рутира за други. Запис што недостасува или не се совпаѓа во една насока објаснува еднонасочен резултат без никаква криптографска грешка.

Класичната асиметрија: еден reqid за повеќе подмрежи

Чест дефект доаѓа од партнер што инсталира политики за сите договорени подмрежи под еден reqid, што се случува со generate_policy require кај racoon. Сообраќајот тогаш излегува низ асоцијацијата воспоставена последна, додека другата страна држи одделна асоцијација за секоја подмрежа. Одговорите пристигнуваат на асоцијација чиј reqid не ја означува политиката што треба да ги прифати, и јадрото ги отфрла по дешифрирањето.

Поправката е промена на конфигурацијата, не правило на заштитен ѕид: generate_policy unique; дава на секоја политика свој reqid, така што асоцијациите на партнерот по политика имаат соодветни партнери. Применете го, договорете се повторно и пребројте ги различните reqid за очекуваните подмрежи пред да објавите успех.

Ако две подмрежи уште делат еден reqid додека другата страна очекува два, ја најдовте асиметријата. Запишете го совпаѓањето, бидејќи тоа е доказот дека следната промена ја поправила или ја зачувала.

Селекторите доаѓаат од договарањето, не од вашата конфигурација

Заштитените опсези се она за што се договориле двата краја, не она што го побарала едната страна. Клиент што нуди пар домаќини наспроти широк далечен опсег ја добива стеснетата верзија на портата и не може да ја прошири. Читајте ги инсталираните селектори наместо тие во вашата локална датотека.

Кога целта е спротивна, да се задржи едно одредиште надвор од тунелот, додајте политика за заобиколување со помал број на приоритет за да го победи автоматски инсталираниот запис. Политика без шаблон дозволува отворен текст, што ја прави намерен исклучок за регистар на промени, а не чекор за отстранување грешки.

Проверете по овој ред и знајте како да се вратите

Наведете ги политиките за секоја подмрежа во двете насоки, вклучувајќи го препраќањето ако домаќинот рутира. Пребројте ги различните reqid и потврдете по еден на политика од страната што го очекува. Споредете ги инсталираните селектори со договорените. По обнова на клучот прочитајте ги повторно бројачите по асоцијација, бидејќи прегледаната асоцијација може веќе да ја нема. Проверете ги рутите последни, бидејќи рута што недостасува до далечната подмрежа дава сличен еднонасочен симптом со чисти бројачи на политиката.

Пред да го промените партнерот, зачувајте го тековниот излез на двете xfrm команди. Ако новата поставка не ја врати повратната насока, враќањето на тој излез е побрзо враќање отколку повторно градење на тунелот по меморија и го задржува споредувањето чесно.