IPsec ട്രാഫിക് സെലക്ടറുകൾ: അവ എന്തു ഉൾക്കൊള്ളുന്നു, എന്തു ഉൾക്കൊള്ളുന്നില്ല

ട്രാഫിക് സെലക്ടറുകൾ ഒരു IPsec കരാർ സംരക്ഷിക്കുന്ന ആന്തരിക ട്രാഫിക്കിന് പേരു നൽകുന്നു, ആ ജോടി അനുമാനിക്കുന്നതല്ല, ചർച്ച ചെയ്തു നിർണ്ണയിക്കുന്നതാണ്. രണ്ടു അറ്റങ്ങൾക്ക് പരസ്പരം പൂർണ്ണമായി പ്രാമാണീകരിക്കാനാകും, എന്നിട്ടും ഏത് പാക്കറ്റുകൾ ടണലിനുള്ളിൽ പെടുന്നു എന്നതിൽ ഭിന്നതയുണ്ടാകാം. ആ ഭിന്നത കണക്ഷൻ നിലയിൽ കാണാനാവില്ല, അത് സാധാരണയായി ആരോഗ്യകരമായ ടണൽ റിപ്പോർട്ട് ചെയ്യുന്നു. സെലക്ടറുകൾ രണ്ടു അറ്റത്തുനിന്നും വായിച്ച് പിന്നെ ഒരു ലക്ഷ്യസ്ഥാനം പിന്തുടരുന്നത് എത്രത്തോളം നയം തിരുത്തിയാലും വേഗത്തിൽ അതു കണ്ടെത്തുന്നു.

അവ രണ്ടു അറ്റത്തുനിന്നും വായിക്കുക

ഓരോ അറ്റവും സ്വന്തം ഭാഗത്തെ പ്രാദേശികമായും മറ്റേ ഭാഗത്തെ വിദൂരമായും വിവരിക്കുന്നു. അതിനാൽ അതേ പ്രിഫിക്സ് ജോടി രണ്ടു കോൺഫിഗറേഷനുകളിലും മാറിമറിഞ്ഞു കാണപ്പെടുന്നു, അത് ശരിയാണ്, വൈരുദ്ധ്യമല്ല. പ്രവർത്തിക്കുന്ന കരാർ പേപ്പറിൽ തെറ്റായി തോന്നുമ്പോൾ ആദ്യം ചെയ്യേണ്ടത് കാഴ്ചപ്പാട് തലതിരിച്ചു വയ്ക്കുന്നതാണ്. രണ്ടു ഫയലുകൾ പരസ്പരം മാറ്റാതെ അടുത്തടുത്ത് താരതമ്യം ചെയ്യുന്നത് ഇല്ലാത്ത ഒരു പൊരുത്തക്കേട് സൃഷ്ടിക്കുന്നു.

മൂല്യങ്ങൾ എപ്പോഴും ഒറ്റ സബ്നെറ്റുകളല്ല. IKEv2 സെലക്ടറുകൾക്ക് വിലാസ ശ്രേണികൾ, പ്രോട്ടോക്കോൾ നമ്പറുകൾ, പോർട്ട് ശ്രേണികൾ എന്നിവ വഹിക്കാനാകും, അങ്ങനെ ഒരു നയം മുഴുവൻ നെറ്റ്വർക്കിനു പകരം ഒരു സേവനത്തെ സംരക്ഷിക്കുന്നു. ഉദ്ദേശിച്ച ട്രാഫിക്കിനെക്കാൾ ഇടുങ്ങിയ സെലക്ടർ ചില ലക്ഷ്യസ്ഥാനങ്ങൾ വഹിക്കുകയും മറ്റുള്ളവയെ നിശ്ശബ്ദമായി ഒഴിവാക്കുകയും ചെയ്യുന്ന ടണൽ സൃഷ്ടിക്കുന്നു.

എന്തെങ്കിലും മാറ്റുന്നതിനു മുൻപ് രണ്ടു ഭാഗവും ഒരു പട്ടികയിൽ എഴുതുക. ഈ അഭ്യാസം സാധാരണയായി കോൺഫിഗറേഷൻ ഫയൽ തൊടാതെ തന്നെ ചോദ്യം തീർക്കുന്നു.

ചുരുക്കുന്നത് പ്രതികരിക്കുന്ന കക്ഷിയുടെ തീരുമാനമാണ്

സംരംഭകൻ നിർദ്ദേശിക്കുന്നു, പ്രതികരിക്കുന്ന കക്ഷിക്ക് ഒരു ഉപഗണം മാത്രം സ്വീകരിക്കാനാകും. IKEv2 പ്രതികരിക്കുന്ന കക്ഷിക്ക് നിർദ്ദേശിച്ച ട്രാഫിക് സെലക്ടറുകൾ ചുരുക്കാൻ അനുവാദം നൽകുന്നു, ചുരുക്കിയ ഫലമാണ് യഥാർത്ഥത്തിൽ ഇൻസ്റ്റാൾ ചെയ്യുന്നത്. അതിനാൽ സംരംഭകന്റെ കോൺഫിഗറേഷൻ വായിക്കുന്നത് ഒരു നിർദ്ദേശം വിവരിക്കുന്നു, കരാർ അല്ല.

അതുകൊണ്ടാണ് ക്ലയന്റിൽ ചേർത്ത ഒരു സബ്നെറ്റ് പ്രവർത്തിക്കുന്ന ടണൽ സൃഷ്ടിച്ചിട്ടും പുതിയ ലക്ഷ്യസ്ഥാനം നിരസിക്കുന്നത്. സർവർ തന്റെ നയം അനുവദിക്കുന്നതു വരെ നിർദ്ദേശം ചുരുക്കി, എന്നാൽ ക്ലയന്റിന്റെ ഫയൽ ഇപ്പോഴും വിശാലമായ ശ്രേണി പട്ടികപ്പെടുത്തുന്നു. ചർച്ച ചെയ്ത അവസ്ഥ മാത്രമാണ് സത്യം കാണിക്കുന്നത്: Linux-ൽ ip xfrm policy ഉം strongSwan-ന്റെ IKEv2 രേഖകളിലെ child SA പട്ടികയും ആവശ്യപ്പെട്ടതല്ല, ഇൻസ്റ്റാൾ ചെയ്തതാണ് റിപ്പോർട്ട് ചെയ്യുന്നത്. രണ്ടും യോജിക്കാത്തപ്പോൾ മാറ്റേണ്ടത് പ്രതികരിക്കുന്ന കക്ഷിയുടെ നയമാണ്.

നിരസിച്ച നിർദ്ദേശം ചുരുക്കിയതിൽനിന്ന് വ്യത്യസ്തമായ ലക്ഷണമാണ്. നിരസിക്കൽ ചർച്ചാ ലോഗിൽ പ്രത്യക്ഷപ്പെടുന്നു, child ബന്ധം ഒട്ടും അവശേഷിപ്പിക്കുന്നില്ല.

ഒരു ലക്ഷ്യസ്ഥാനം തുടക്കം മുതൽ അവസാനം വരെ പിന്തുടരുക

ക്ലയന്റ് ഉപയോഗിക്കുന്ന യഥാർത്ഥ ലക്ഷ്യസ്ഥാനവും അതിനുള്ള സ്രോതസ്സ് വിലാസവും തിരഞ്ഞെടുത്ത്, ആ ജോടിയെ മൂന്നു സ്വതന്ത്ര തീരുമാനങ്ങളിലൂടെ കടത്തിവിടുക. റൂട്ട് ഒരു വഴി തിരഞ്ഞെടുക്കുന്നു, ആ വഴി സംരക്ഷിതമാണോ എന്ന് സെലക്ടർ തീരുമാനിക്കുന്നു, ഫയർവാൾ പാക്കറ്റ് അനുവദനീയമാണോ എന്ന് തീരുമാനിക്കുന്നു. ഓരോന്നും സ്വതന്ത്രമായി പരാജയപ്പെടാം, വിശാലമായ സെലക്ടർ മറ്റുള്ളവയിൽ ഒന്നും തന്നെ ശരിയാക്കുന്നില്ല.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

റൂട്ട് ചോദ്യം പാക്കറ്റ് വഹിക്കുന്ന ഇന്റർഫേസും സ്രോതസ്സ് വിലാസവും പേരിടുന്നു. നയ പട്ടിക ആ ജോടിക്ക് യോജിക്കുന്ന ടണൽ നയം ഉണ്ടോ എന്ന് കാണിക്കുന്നു, അതിന്റെ ദിശയും തലവും ഉൾപ്പെടെ. SA പട്ടിക ചർച്ച ചെയ്ത child സെലക്ടറുകൾ കൗണ്ടറുകളോടൊപ്പം കാണിക്കുന്നു, അതിനാൽ ട്രാഫിക് ശ്രമിച്ചശേഷം പൂജ്യം പാക്കറ്റുള്ള child ബന്ധം അയയ്ക്കുന്നത് ഒഴിവാക്കുന്ന സെലക്ടറുകളുടെ ഒപ്പമാണ്. മൂന്നു കമാന്റുകൾ, മൂന്നു വ്യത്യസ്ത ഉത്തരങ്ങൾ, അവയിൽ ഒന്നു മാത്രമാണ് നിശ്ശബ്ദമായ വീഴ്ച വിശദീകരിക്കുന്നത്.

ആപ്പ് ഇപ്പോഴും പരാജയപ്പെടുമ്പോൾ child കൗണ്ടറുകൾ നീങ്ങുന്നുവെങ്കിൽ, പ്രശ്നം ടണലിന് അപ്പുറമാണ്. അത് അന്വേഷണം സെലക്ടറുകളിലേക്കല്ല, വിദൂര ഹോസ്റ്റിന്റെ ശ്രോതാവിലേക്കോ ഫയർവാളിലേക്കോ മാറ്റുന്നു.

രണ്ടു ലക്ഷ്യങ്ങളും വേർതിരിച്ചു നിർത്തുക

ഓഫീസ് സബ്നെറ്റ് സംരക്ഷിക്കുന്നതും മുഴുവൻ ബ്രൗസിംഗും വിദൂര എക്സിറ്റിലൂടെ അയയ്ക്കുന്നതും വ്യത്യസ്ത സെലക്ടറുകളുള്ള വ്യത്യസ്ത ആവശ്യകതകളാണ്. ഒന്നിനായി നിർമ്മിച്ച പ്രൊഫൈൽ മറ്റൊന്നിന് അപൂർവ്വമായി ചേരും, രണ്ടും കലർത്തിയാൽ ഒന്നുകിൽ ചോർച്ച, അല്ലെങ്കിൽ പൊട്ടിയ വിഭജനം. സംരക്ഷിത ശ്രേണി വിശാലമാക്കുക എന്നാൽ രണ്ടു അറ്റങ്ങളും അവയുടെ ഫോർവേർഡിംഗ് നയവും മാറ്റണം, കാരണം ഏകപക്ഷീയ മാറ്റം നിരസിച്ച നിർദ്ദേശമായി മാറുന്നു. ചെറിയ തിരുത്തലിനുശേഷം പ്രവർത്തിച്ചിരുന്ന ടണൽ പ്രവർത്തനം നിർത്തുന്ന ഏറ്റവും സാധാരണ വഴി ഇതാണ്.

സെലക്ടറുകൾ ക്രിപ്റ്റോഗ്രാഫിക് പരിധി വിവരിക്കുന്നു, റൂട്ടുകൾ വഴികൾ തിരഞ്ഞെടുക്കുന്നു, ആപ്പുകൾ സ്വന്തം അനുമതികൾ നടപ്പാക്കുന്നു. എല്ലാം ഉൾക്കൊള്ളുന്ന ടണലിനും loopback-ൽ ബന്ധിച്ച സേവനത്തിലെത്താനാവില്ല, ടണലിലേക്കുള്ള റൂട്ടിന് ഇപ്പോഴും ലക്ഷ്യസ്ഥാനം ഉൾപ്പെടുന്ന സെലക്ടർ വേണം. ഒരേ പരീക്ഷണ അഭ്യർത്ഥനയ്ക്കെതിരെ മൂന്നും പരിശോധിക്കുക, പൊരുത്തക്കേട് സ്വയം പേരു പറയും.