അനുവദിച്ച വെർച്വൽ IP-യിൽ IKEv2 ക്ലയന്റിലേക്ക് എത്തിച്ചേരുക

IKEv2 വഴി തന്നോട് ബന്ധിപ്പിച്ച ലാപ്‌ടോപ്പിലേക്ക് ഗേറ്റ്‌വേ ഒരു കണക്ഷൻ ആരംഭിക്കേണ്ടതുണ്ട്, അതിനായി ആ ക്ലയന്റിന് അനുവദിച്ച വെർച്വൽ വിലാസം ഉപയോഗിക്കണം. ടണൽ സജീവമാണ്, ക്ലയന്റ് ഗേറ്റ്‌വേയ്ക്ക് പിന്നിലുള്ള എല്ലാത്തിനെയും എത്തിച്ചേരുന്നു, എന്നാൽ വിപരീത ദിശ ഇപ്പോഴും പരാജയപ്പെടുന്നു. ഈ അസമത്വം സാധാരണമാണ്: ചർച്ച ചെയ്ത നയം ഏത് വിലാസങ്ങൾക്ക് സംസാരിക്കാമെന്ന് വിവരിക്കുന്നു, ഏത് വശത്തിന് തുടങ്ങാമെന്നല്ല. ഗേറ്റ്‌വേ ആരംഭിക്കുന്ന അഭ്യർത്ഥന പ്രവർത്തിക്കാൻ മൂന്ന് കാര്യങ്ങൾ ഒത്തുചേരണം.

ടണൽ ഉറവിട വിലാസം ശരിയാക്കുന്നില്ല

CHILD SA ട്രാഫിക് സെലക്ടറുകളുടെ ഒരു ജോടി ഉൾക്കൊള്ളുന്നു, ഓരോ വശത്തിനും ഒന്ന്, കൂടാതെ ആ ജോടിയുടെ ഇരു ദിശകളിലും ട്രാഫിക് അനുവദിക്കുന്നു. ഏത് പിയർ ആണ് IKE കൈമാറ്റം ആദ്യം തുറന്നതെന്ന് അത് ഒന്നും പറയുന്നില്ല. ആദ്യം ടണലിനായി കേട്ടിരുന്ന ഗേറ്റ്‌വേയ്ക്ക് ഇപ്പോഴും ആദ്യത്തെ അപ്ലിക്കേഷൻ പാക്കറ്റ് അയയ്ക്കാം, തിരഞ്ഞെടുത്ത ഉറവിടവും ലക്ഷ്യവും ഇൻസ്റ്റാൾ ചെയ്ത സെലക്ടറുകൾക്കുള്ളിൽ വീണാൽ. അഭ്യർത്ഥന തെറ്റായ ഇന്റർഫേസിൽ നിന്ന് പുറത്തുവരുമ്പോൾ, അത് ടണലിന് യോഗ്യമല്ല.

ക്ലയന്റിലേക്കുള്ള റൂട്ടിംഗ് ആവശ്യമാണ്, പര്യാപ്തമല്ല. നിങ്ങൾ യഥാർത്ഥത്തിൽ ഉപയോഗിച്ച ഉറവിടം നയം അനുവദിക്കണം.

ഇൻസ്റ്റാൾ ചെയ്ത നയം വായിക്കുക, കോൺഫിഗ് ഫയലല്ല

സജീവ അസോസിയേഷനിൽ നിന്നും അതിന്റെ സെലക്ടറുകളിൽ നിന്നും തുടങ്ങുക, കാരണം ഡൈനാമിക് അനുവദനം കെർണലിൽ ഇൻസ്റ്റാൾ ചെയ്തിരിക്കുന്നത് മാറ്റുന്നു.

ipsec statusall
ip xfrm policy

സ്റ്റാറ്റസ് ഔട്ട്പുട്ട് കണക്ഷൻ, അനുവദിച്ച വെർച്വൽ വിലാസം, ആ പിയറിന് ഇപ്പോൾ ബാധകമായ സെലക്ടറുകൾ എന്നിവ പേരിടുന്നു. നയ ഡംപ് അതേ സെലക്ടറുകൾ കെർണൽ അവസ്ഥയായി കാണിക്കുന്നു, പാക്കറ്റ് തിരഞ്ഞെടുപ്പ് യഥാർത്ഥത്തിൽ അതിനെയാണ് ആശ്രയിക്കുന്നത്. ഗേറ്റ്‌വേ വശത്തെ സെലക്ടർ നിങ്ങളുടെ അപ്ലിക്കേഷൻ ഉപയോഗിക്കുന്ന ഉറവിടവുമായി താരതമ്യം ചെയ്യുക, കാരണം പൊരുത്തക്കേട് പരാജയം ഉടനടി വിശദീകരിക്കുന്നു. ക്ലയന്റിന്റെ നിലവിലെ വിലാസം വായിക്കുക, മുൻ സെഷനിലെ വിലാസമല്ല, കാരണം വീണ്ടും അനുവദിച്ച VIP പഴയ നയം അസാധുവാക്കുന്നു.

പാക്കറ്റ് എത്തുന്നിടത്ത് ക്ലയന്റ് കേൾക്കണം

സേവനം ലൂപ്പ്ബാക്കിലേക്ക് മാത്രം ബന്ധിക്കുമ്പോൾ തികഞ്ഞ നയവും അടച്ച പോർട്ടിൽ എത്തുന്നു. ശ്രോതാവ് അനുവദിച്ച വിലാസത്തിലോ പ്രാദേശിക വൈൽഡ്കാർഡ് വിലാസത്തിലോ ആയിരിക്കണം.

ss -ltnp 'sport = :9090'
iptables -S INPUT

സോക്കറ്റ് ലിസ്റ്റ് പോർട്ട് വെർച്വൽ വിലാസത്തിൽ ബന്ധിച്ചിട്ടുണ്ടോ എന്ന് കാണിക്കുന്നു, ഫയർവാൾ നിയമങ്ങൾ സംരക്ഷിത ഉറവിടത്തിൽ നിന്ന് പുതിയ കണക്ഷനുകൾ സ്വീകരിക്കുന്നുണ്ടോ എന്ന് കാണിക്കുന്നു. സ്ഥാപിത കണക്ഷനുകൾക്കായി എഴുതിയ നിയമം ഗേറ്റ്‌വേ ആരംഭിക്കുന്ന കണക്ഷൻ അനുവദിക്കുന്നില്ല. സേവനത്തിന്റെ സ്വന്തം പ്രാമാണീകരണം നിലനിർത്തുക, കാരണം ടണലിലൂടെ എത്തുന്നത് പാക്കറ്റ് ഏത് നെറ്റ്വർക്കിൽ നിന്ന് വന്നു എന്ന് മാത്രം സ്ഥാപിക്കുന്നു. സ്വന്തം NAT-ന് പിന്നിലുള്ള ക്ലയന്റിന് ഇപ്പോഴും ഇൻബൗണ്ട് പോർട്ട് ഫോർവേഡിംഗ് ആവശ്യമില്ല, കാരണം ഈ അഭ്യർത്ഥനകൾ നിലവിലുള്ള ടണലിനുള്ളിലൂടെ സഞ്ചരിക്കുന്നു.

പുതിയ ദിശ വെവ്വേറെ പരീക്ഷിക്കുക

ക്ലയന്റിൽ നിന്ന് സർവറിലേക്കുള്ള വിജയകരമായ അഭ്യർത്ഥന ഈ പാത ഒരിക്കലും പരിശീലിക്കുന്നില്ല. ഗേറ്റ്‌വേയിൽ നിന്ന് അഭ്യർത്ഥന സൃഷ്ടിച്ച് രണ്ട് അറ്റങ്ങളും നിരീക്ഷിക്കുക.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

റൂട്ട് തിരയൽ ഗേറ്റ്‌വേ ഏത് ഉറവിടവും ഇന്റർഫേസും ഉപയോഗിക്കുമെന്ന് ഉത്തരം നൽകുന്നു, നയം അനുവദിക്കേണ്ട മൂല്യം അതാണ്. ക്യാപ്ചർ അഭ്യർത്ഥന പൊതു ഇന്റർഫേസിൽ സാധാരണ TCP ആയല്ല, ESP-നുള്ളിൽ പുറത്തുപോകുന്നത് കാണിക്കണം. ക്ലയന്റിൽ, എത്തിച്ചേരലും സേവനം മറുപടി നൽകിയോ എന്നതും സ്ഥിരീകരിക്കാൻ ഡീക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക് ക്യാപ്ചർ ചെയ്യുക. അഭ്യർത്ഥന വയറിൽ ESP ഇല്ലാതെ അപ്രത്യക്ഷമായാൽ, ക്ലയന്റിന്റെ ഫയർവാളിന് മുമ്പ് ഉറവിട വിലാസം സംശയിക്കുക.

കീ മാറ്റത്തിനോ വീണ്ടും കണക്ഷനുണ്ടാകുന്നതിനോ ശേഷം പരീക്ഷണം ആവർത്തിക്കുക, കാരണം VIP മാറിയേക്കാം. അടുത്ത സെഷൻ വരെ മാത്രം പ്രവർത്തിക്കുന്ന പാത പ്രവർത്തിക്കുന്ന പാതയല്ല.