Стандардната рута на XFRM ги проголта IKE и ESP: задржете ја надворешната патека

Политика што штити сѐ може да ги фати и пакетите што го одржуваат тунелот. Означете ги IKE и ESP или оставете рута кон партнерот.

Сообраќајот е заштитен, тунелот работи, а потоа умира при следното обновување на клучевите. Стандардната рута низ интерфејсот XFRM опишуваше сообраќајот што сакавте да го заштитите. Таа ги проголта и пакетите потребни за да се продолжи заштитата.

Двете вклучени одредишта не се заменливи. Рутирањето мора тоа експлицитно да го каже.

Каде всушност оди пребарувањето на партнерот

Запишете ги активните правила, табелата со рутата XFRM и јавната адреса на партнерот. Потоа погледнете ја патеката што надворешната врска би ја избрала со својот вистински извор и ознака. Општо одредиште не кажува ништо за таа контролна патека. Само вистинскиот извор и ознака даваат корисен одговор.

Успешната почетна врска исто така докажува малку. Неисправноста често се појавува откако инсталацијата на рута ќе го промени одговорот. Стартувањето успева, потоа првото обновување не.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ако пребарувањето за партнерот заврши во интерфејсот XFRM, надворешните пакети се рутираат во тунелот што тие самите го градат. Тоа е јамката, видлива со една команда.

Опции за исклучување на модерен портал

Документацијата на strongSwan за VPN заснован на рутирање наведува два практични одговори. Едниот ги означува IKE и ESP за правилото кон табелата XFRM да не се совпаѓа со нив. Другиот остава рута кон партнерот или исклучување до кое пребарувањето сѐ уште може да стигне.

Изберете го она што вашиот сет правила може да го изрази без несакани ефекти. Ознаката е чиста кога остатокот од стекот веќе користи ознаки. Таа е опасност кога истата маска значи нешто друго во друго правило. Двата типа пакети и онака ја потребуваат оваа обработка.

Означувањето само на IKE ги остава податочните пакети на фатената патека. Тоа создава тунел што прави ракување и потоа не носи ништо.

Ознаката е еден бит во fwmark полето на пакетот што ништо друго на порталот не го бара: 0x1 со маска 0x1 е вообичаениот избор и мора да се постави на две места за исклучувањето да работи. Charon ја бара на сокетот IKE, а поставките за влезна и излезна ознака на детската врска ја бараат истата вредност за да излегуваат и инкапсулираните пакети означени. Маска 0x1 наместо 0xffffffff ги остава останатите битови слободни, што е важно кога друга потсистема веќе означува пакети на истиот хост. Кога двете се поставени, правилото се пишува како исклучување, па означените пакети ја прескокнуваат табелата со рутата XFRM и паѓаат во главната табела:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Потоа прочитајте го одговорот со применета ознака. Без неа ја испитувате патеката што ја поминува заштитениот сообраќај, што е спротивно од прашањето на овој дел.

Што претпоставува автоматската инсталација за градбата

Автоматска инсталација на рута за интерфејс XFRM зависи од верзијата на strongSwan и неговата конфигурација. ID на интерфејсот, инсталираната политика и асоцијацијата мора сите да се однесуваат на предвидените објекти. Несовпаѓањето се покажува како рута што тивко покажува некаде вистинско.

Копирањето број на табела или маска за ознака од друг портал е начинот на кој започнуваат судирите. Прво проверете што ја веќе користи. Судирот влијае на сообраќај далеку подалеку од тунелот што сакавте да го смените, а симптомот ретко покажува на копијата.

Промените на адресата на партнерот се дел од дизајнот. Рута до хост за вчерашната адреса не е план за обновување на крајната точка, додека ознаката ја преживува таа промена.

Следете го првото обновување

Проверете ја надворешната патека откако заштитените рути се инсталирани, а не пред тоа. Потоа следете го следното обновување и една размена на апликација. Неисправноста обично се појавува при таа транзиција, а не при стартувањето.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Привременото отстранување на заштитената стандардна рута обично го враќа поврзувањето. Тој резултат е дијагностички, не конечен.

Целта е стабилно разделување меѓу внатрешниот сообраќај и надворешните пакети што го носат. Запишете го избраниот механизам и неговата табела или ознака во белешките на порталот. Инаку следниот човек што ќе ги допре правилата повторно ќе ја внесе јамката.

Поврзани статии