Зошто IPsec безбедносната политика не е запис во табелата за рутирање

Пратете ping до 10.20.0.5 низ тунелот и ништо не се враќа, додека табелата за рутирање инсистира дека таа подмрежа е достапна. Рутирањето и IPsec одговараат на различни прашања, а само едно од нив е за достапноста. Пребарувањето напред избира пат, потоа базата на безбедносната политика одлучува дали тој пат треба да биде заштитен, оставен како што е или одбиен. Кога двете не се согласуваат, пакетот умира тивко, затоа читајте ги по тој редослед.

Започнете со пребарувањето, не со табелата

Прашајте го јадрото што навистина би направило: ip route get 10.20.0.5 ја печати избраната рута, излезниот интерфејс и изворната адреса што би ја користело. Префикс, правило на политика, ознака или претпочитан извор можат да го променат тој одговор, затоа живото пребарување е подобро од читање на табелата со око.

Тестирајте дестинација во заштитениот опсег, не адресата на портата. Достигнувањето на портата од другата страна докажува само дека постои некаква рута; тоа не кажува ништо за подмрежата што навистина ви треба. Потоа потврдете дека интерфејсот што го избра пребарувањето е тој што очекувате тунелот да го користи.

Усогласете ги селекторите на двете страни

Базата на политиката има свои записи, и секој наведува насока, извор, дестинација и протокол, а потоа кажува што треба да се случи со соодветните пакети. Користете ip xfrm policy за да ги наведете; знаменцата покажуваат дали дејството е заштита, заобиколување или блокирање. Политика чии селектори се пошироки или потесни од вашиот тест-тек нема да се совпадне со него, и пакетот излегува незаштитен. Тоа е дефектот што го барате, не рута што недостасува.

Споредете ги вистинските вредности: извор, дестинација, протокол и порти. Ако пребарувањето решило еден пар адреси, а записот на политиката покрива друг, двете гледишта опишуваат различен сообраќај. Пуштете ги двете повторно со истиот тортел пред да заклучите, инаку ќе уредувате политика што никогаш не била на патот.

Совпаѓањето со политика не е инсталирана состојба

Совпаѓачката политика само кажува дека пакетот мора да биде заштитен; на јадрото сѐ уште му треба безбедносна асоцијација за да ја изврши заштитата. Наведете ги со ip xfrm state, или со swanctl --list-sas кога strongSwan ги води преговорите, и прочитајте ги селекторите и бројачите на секој запис.

Кога политиката се совпаѓа и ниедна асоцијација не ги покрива истите селектори, пакетот се отфрла наместо да се прати во чист текст. Тоа е отфрлањето што треба да го барате кога тунелот е кренат, но една подмрежа не работи. Бројачите го кажуваат остатокот: асоцијација што никогаш не расте никогаш не била избрана, додека онаа што расте и сепак завршува со отфрлање покажува на далечната страна. Поправањето на селектори и обновувањето клучеви се различни поправки, затоа одлучете која ви треба пред да ја допрете конфигурацијата.

Што сѐ уште бара тунелот заснован на рута

Интерфејсот XFRM го прави тунелот да изгледа како уред во кој можете да рутирате, што е навистина корисно. Тој не ја отстранува политиката и состојбата што одлучуваат што се случува кога пакетот ќе пристигне таму. Рутата придонесува следен скок и ништо повеќе.

Ако уредот постои и рутата покажува во него, а ниедна асоцијација не се совпаѓа со внатрешните селектори, пакетот се отфрла, и никакво уредување на рути не создава клучеви или селектори. Проверете го интерфејсот со истиот извор и дестинација што ги рутиравте, потоа споредете го со списокот на состојби.

Разјаснете ја сопственоста пред да уредите нешто

Огнениот ѕид на домаќинот додава трета одлука за која ниту една од двете бази не знае. Правилна рута плус совпаѓачка политика плус инсталирана асоцијација сѐ уште можат да завршат со отфрлен пакет, а апликацијата пријавува само истек на време. Потврдете дека огнениот ѕид го дозволува заштитениот сообраќај пред да го обвините IPsec. Снимањето на уредот на тунелот и на физичкиот интерфејс покажува од која страна на шифрирањето исчезнал пакетот.

Сопственоста на конфигурацијата одлучува дали вашата поправка ќе преживее рестарт. Една компонента може да инсталира состојба додека друга управува со рути, и рачното уредување на втората се презапишува следниот пат кога тунелот ќе се крене. Сменете ја конфигурацијата што е сопственик, потоа прочитајте ги двете гледишта повторно; RFC 4301 ги држи двете бази одделни кога треба да ја објасните поделбата на некој друг.