Стигнување до IKEv2 клиент на неговата доделена виртуелна IP

Портата треба да започне врска кон преносен компјутер поврзан со неа преку IKEv2, користејќи ја доделената виртуелна адреса на тој клиент. Тунелот е кренат, клиентот стигнува до сѐ зад портата, а обратниот правец сѐ уште не успева. Таа асиметрија е нормална: договорената политика опишува кои адреси смеат да разговараат, а не која страна смее да започне. Три работи мора да се поклопат пред барањето што го започнува портата да проработи.

Тунелот не ја поправа адресата на изворот

CHILD SA покрива пар селектори на сообраќај, по еден за секоја страна, и дозволува сообраќај во двете насоки на тој пар. Таа не кажува ништо за тоа која страна прва ја отворила IKE размената. Порта што првично слушала за тунелот сѐ уште може да го испрати првиот пакет на апликацијата, под услов избраниот извор и одредиште да паѓаат во инсталираните селектори. Кога барањето излегува од погрешниот интерфејс, тоа едноставно не е подобно за тунелот.

Рутирањето кон клиентот е неопходно и не е доволно. Политиката мора да го прими изворот што навистина сте го користеле.

Читајте ја инсталираната политика, а не конфигурациската датотека

Започнете од активната асоцијација и нејзините селектори, бидејќи динамичката додела го менува она што е инсталирано во јадрото.

ipsec statusall
ip xfrm policy

Излезот од состојбата ги именува врската, доделената виртуелна адреса и селекторите што моментално важат за тој партнер. Исписот на политиката ги покажува истите селектори како состојба на јадрото и токму него го консултира изборот на пакети. Споредете го селекторот од страната на портата со изворот што ќе го користи вашата апликација, бидејќи несовпаѓањето веднаш го објаснува неуспехот. Читајте ја тековната адреса на клиентот, а не онаа од претходна сесија, бидејќи повторно доделен VIP ја прави старата политика неважечка.

Клиентот мора да слуша каде пристигнува пакетот

Дури и совршена политика стигнува до затворен порт кога услугата се врзува само на loopback. Слушателот мора да биде на доделената адреса или на локална џокер адреса.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Списокот на сокети покажува дали портот е врзан за виртуелната адреса, а правилата на ѕидот покажуваат дали се прифаќаат нови врски од заштитениот извор. Правило напишано за воспоставени врски не дозволува врска што ја започнува портата. Задржете ја сопствената автентикација на услугата, бидејќи доаѓањето преку тунелот утврдува само од која мрежа дошол пакетот. Клиент зад сопствен NAT сѐ уште не бара пренасочување на влезен порт, бидејќи овие барања патуваат внатре во постоечкиот тунел.

Тестирајте го новиот правец одделно

Успешно барање од клиент кон сервер никогаш не го проверува овој пат. Генерирајте го барањето од портата и набљудувајте двата краја.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Пребарувањето на маршрута одговара кој извор и интерфејс би ги користела портата, и тоа е вредноста што политиката мора да ја прими. Снимката треба да покаже дека барањето излегува внатре во ESP, а не како обичен TCP на јавниот интерфејс. На клиентот снимете го дешифрираниот сообраќај за да го потврдите доаѓањето и дали услугата одговорила. Ако барањето исчезне без ESP на линијата, посомневајте се во адресата на изворот пред ѕидот на клиентот.

Повторете го тестот по замена на клуч или повторно поврзување, бидејќи VIP може да се промени. Пат што работи само до следната сесија не е работен пат.