IPsec സുരക്ഷാ നയം എന്തുകൊണ്ട് റൂട്ട് ടേബിളിലെ ഒരു എൻട്രി അല്ല

ടണലിലൂടെ 10.20.0.5-ലേക്ക് ping ചെയ്യുമ്പോൾ ഒന്നും തിരികെ വരുന്നില്ല, അതേസമയം റൂട്ട് ടേബിൾ ആ സബ്‌നെറ്റ് എത്താവുന്നതാണെന്ന് വാദിക്കുന്നു. റൂട്ടിംഗും IPsec-ഉം വ്യത്യസ്ത ചോദ്യങ്ങൾക്കാണ് ഉത്തരം നൽകുന്നത്, അവയിൽ ഒന്ന് മാത്രമാണ് എത്തിച്ചേരലിനെക്കുറിച്ച്. ഫോർവേഡ് ലുക്കപ്പ് ഒരു പാത തിരഞ്ഞെടുക്കുന്നു, തുടർന്ന് സുരക്ഷാ നയ ഡാറ്റാബേസ് ആ പാത സംരക്ഷിക്കണോ, അതേപടി വിടണോ അതോ നിരസിക്കണോ എന്ന് തീരുമാനിക്കുന്നു. രണ്ടും യോജിക്കാത്തപ്പോൾ പാക്കറ്റ് നിശബ്ദമായി മരിക്കുന്നു, അതിനാൽ അവ അതേ ക്രമത്തിൽ വായിക്കുക.

ടേബിളിൽ നിന്നല്ല, ലുക്കപ്പിൽ നിന്ന് തുടങ്ങുക

കേർണൽ യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുമെന്ന് ചോദിക്കുക: ip route get 10.20.0.5 തിരഞ്ഞെടുത്ത റൂട്ട്, പുറത്തേക്കുള്ള ഇന്റർഫേസ്, അത് ഉപയോഗിക്കുന്ന സ്രോതസ്സ് വിലാസം എന്നിവ അച്ചടിക്കുന്നു. പ്രിഫിക്സ്, നയ നിയമം, മാർക്ക് അല്ലെങ്കിൽ മുൻഗണനയുള്ള സ്രോതസ്സ് എന്നിവയ്ക്കെല്ലാം ആ ഉത്തരം മാറ്റാനാകും, അതുകൊണ്ടാണ് കണ്ണുകൊണ്ട് ടേബിൾ വായിക്കുന്നതിനെക്കാൾ ലൈവ് ലുക്കപ്പ് മികച്ചതാകുന്നത്.

സംരക്ഷിത പരിധിക്കുള്ളിലെ ലക്ഷ്യം പരിശോധിക്കുക, ഗേറ്റ്‌വേ വിലാസമല്ല. എതിർവശത്തെ ഗേറ്റ്‌വേയിൽ എത്തുന്നത് ഏതോ ഒരു റൂട്ട് ഉണ്ടെന്ന് മാത്രം തെളിയിക്കുന്നു; നിങ്ങൾക്ക് യഥാർത്ഥത്തിൽ വേണ്ട സബ്‌നെറ്റിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല. തുടർന്ന് ലുക്കപ്പ് തിരഞ്ഞെടുത്ത ഇന്റർഫേസ് ടണൽ ഉപയോഗിക്കുമെന്ന് നിങ്ങൾ പ്രതീക്ഷിക്കുന്നതാണോ എന്ന് സ്ഥിരീകരിക്കുക.

ഇരുവശത്തും സെലക്ടറുകൾ യോജിപ്പിക്കുക

നയ ഡാറ്റാബേസിന് സ്വന്തം എൻട്രികളുണ്ട്, ഓരോന്നും ഒരു ദിശ, സ്രോതസ്സ്, ലക്ഷ്യം, പ്രോട്ടോക്കോൾ എന്നിവ പേരിട്ട്, പൊരുത്തപ്പെടുന്ന പാക്കറ്റുകൾക്ക് എന്ത് സംഭവിക്കണമെന്ന് പറയുന്നു. അവ പട്ടികപ്പെടുത്താൻ ip xfrm policy ഉപയോഗിക്കുക; പ്രവർത്തനം സംരക്ഷണമാണോ, ഒഴിവാക്കലാണോ, തടയലാണോ എന്ന് ഫ്ലാഗുകൾ കാണിക്കുന്നു. നിങ്ങളുടെ പരീക്ഷണ ഫ്ലോയെക്കാൾ വീതിയുള്ളതോ ഇടുങ്ങിയതോ ആയ സെലക്ടറുകളുള്ള നയം അതുമായി പൊരുത്തപ്പെടില്ല, പാക്കറ്റ് സംരക്ഷണമില്ലാതെ പുറത്തുപോകും. നിങ്ങൾ അന്വേഷിക്കുന്ന തകരാർ അതാണ്, കാണാതെപോയ റൂട്ടല്ല.

യഥാർത്ഥ മൂല്യങ്ങൾ താരതമ്യം ചെയ്യുക: സ്രോതസ്സ്, ലക്ഷ്യം, പ്രോട്ടോക്കോൾ, പോർട്ടുകൾ. ലുക്കപ്പ് ഒരു വിലാസ ജോടി പരിഹരിച്ചപ്പോൾ നയ എൻട്രി മറ്റൊന്ന് ഉൾക്കൊള്ളുന്നുവെങ്കിൽ, രണ്ട് കാഴ്ചകളും വ്യത്യസ്ത ട്രാഫിക്കിനെ വിവരിക്കുന്നു. തീരുമാനത്തിലെത്തുന്നതിന് മുൻപ് രണ്ടും ഒരേ ട്യൂപിളിൽ വീണ്ടും പ്രവർത്തിപ്പിക്കുക, അല്ലാത്തപക്ഷം പാതയിൽ ഒരിക്കലും ഉണ്ടായിരുന്നിട്ടില്ലാത്ത ഒരു നയം നിങ്ങൾ തിരുത്തും.

നയ പൊരുത്തം എന്നത് ഇൻസ്റ്റാൾ ചെയ്ത അവസ്ഥയല്ല

പൊരുത്തപ്പെടുന്ന നയം പാക്കറ്റ് സംരക്ഷിക്കണമെന്ന് മാത്രം പറയുന്നു; സംരക്ഷണം നിർവഹിക്കാൻ കേർണലിന് ഇപ്പോഴും ഒരു സുരക്ഷാ അസോസിയേഷൻ വേണം. ip xfrm state ഉപയോഗിച്ച് അവ പട്ടികപ്പെടുത്തുക, അല്ലെങ്കിൽ strongSwan ചർച്ച നടത്തുമ്പോൾ swanctl --list-sas ഉപയോഗിച്ച്, ഓരോ എൻട്രിയിലെയും സെലക്ടറുകളും കൗണ്ടറുകളും വായിക്കുക.

ഒരു നയം പൊരുത്തപ്പെടുകയും അതേ സെലക്ടറുകൾ ഒരു അസോസിയേഷനും ഉൾക്കൊള്ളാതിരിക്കുകയും ചെയ്താൽ, പാക്കറ്റ് വ്യക്തമായ ടെക്സ്റ്റിൽ അയക്കുന്നതിനുപകരം ഉപേക്ഷിക്കുന്നു. ടണൽ ഓണായിരിക്കെ ഒരു സബ്‌നെറ്റ് മാത്രം പരാജയപ്പെടുമ്പോൾ അന്വേഷിക്കേണ്ട ഡ്രോപ്പ് അതാണ്. കൗണ്ടറുകൾ ബാക്കി പറയുന്നു: ഒരിക്കലും വളരാത്ത അസോസിയേഷൻ ഒരിക്കലും തിരഞ്ഞെടുക്കപ്പെട്ടിട്ടില്ല, വളർന്നിട്ടും ഡ്രോപ്പിൽ അവസാനിക്കുന്നത് വിദൂര വശത്തേക്ക് സൂചന നൽകുന്നു. സെലക്ടറുകൾ ശരിയാക്കുന്നതും കീകൾ പുതുക്കുന്നതും വ്യത്യസ്ത അറ്റകുറ്റപ്പണികളാണ്, അതിനാൽ കോൺഫിഗറേഷൻ തൊടുന്നതിന് മുൻപ് ഏതാണ് വേണ്ടതെന്ന് തീരുമാനിക്കുക.

റൂട്ട് അധിഷ്ഠിത ടണലിന് ഇപ്പോഴും വേണ്ടത്

XFRM ഇന്റർഫേസ് ടണലിനെ നിങ്ങൾക്ക് റൂട്ട് ചെയ്യാവുന്ന ഒരു ഉപകരണമായി കാണിക്കുന്നു, ഇത് ശരിക്കും ഉപയോഗപ്രദമാണ്. എന്നാൽ പാക്കറ്റ് അവിടെ എത്തിയശേഷം എന്ത് സംഭവിക്കുമെന്ന് തീരുമാനിക്കുന്ന നയവും അവസ്ഥയും അത് നീക്കം ചെയ്യുന്നില്ല. റൂട്ട് അടുത്ത ഹോപ്പ് മാത്രം നൽകുന്നു, അതിൽ കൂടുതലില്ല.

ഉപകരണം ഉണ്ടായിരിക്കുകയും റൂട്ട് അതിലേക്ക് ചൂണ്ടുകയും ചെയ്യുമ്പോൾ ആന്തരിക സെലക്ടറുകളുമായി ഒരു അസോസിയേഷനും പൊരുത്തപ്പെടുന്നില്ലെങ്കിൽ, പാക്കറ്റ് നിരസിക്കപ്പെടുന്നു, എത്ര റൂട്ട് എഡിറ്റ് ചെയ്താലും കീകളോ സെലക്ടറുകളോ ഉണ്ടാകുന്നില്ല. നിങ്ങൾ റൂട്ട് ചെയ്ത അതേ സ്രോതസ്സും ലക്ഷ്യവും ഉപയോഗിച്ച് ഇന്റർഫേസ് പരിശോധിക്കുക, തുടർന്ന് അത് അവസ്ഥാ പട്ടികയുമായി താരതമ്യം ചെയ്യുക.

എന്തെങ്കിലും തിരുത്തുന്നതിന് മുൻപ് ഉടമസ്ഥത വ്യക്തമാക്കുക

ഹോസ്റ്റ് ഫയർവാൾ രണ്ട് ഡാറ്റാബേസുകൾക്കും അറിയാത്ത മൂന്നാമതൊരു തീരുമാനം കൂട്ടിച്ചേർക്കുന്നു. ശരിയായ റൂട്ടും പൊരുത്തപ്പെടുന്ന നയവും ഇൻസ്റ്റാൾ ചെയ്ത അസോസിയേഷനും ഉണ്ടായാലും ഉപേക്ഷിക്കപ്പെട്ട പാക്കറ്റിൽ അവസാനിക്കാം, ആപ്ലിക്കേഷൻ ടൈംഔട്ട് മാത്രം റിപ്പോർട്ട് ചെയ്യുന്നു. IPsec-നെ കുറ്റപ്പെടുത്തുന്നതിന് മുൻപ് ഫയർവാൾ സംരക്ഷിത ട്രാഫിക് അനുവദിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുക. ടണൽ ഉപകരണത്തിലും ഭൗതിക ഇന്റർഫേസിലും ക്യാപ്ചർ ചെയ്യുന്നത് എൻക്രിപ്ഷന്റെ ഏത് വശത്ത് പാക്കറ്റ് അപ്രത്യക്ഷമായി എന്ന് കാണിക്കുന്നു.

കോൺഫിഗറേഷന്റെ ഉടമസ്ഥത നിങ്ങളുടെ തിരുത്തൽ റീസ്റ്റാർട്ടിന് ശേഷം നിലനിൽക്കുമോ എന്ന് തീരുമാനിക്കുന്നു. ഒരു ഘടകം അവസ്ഥ ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ മറ്റൊന്ന് റൂട്ടുകൾ കൈകാര്യം ചെയ്യാം, രണ്ടാമത്തേതിലെ കൈകൊണ്ടുള്ള തിരുത്ത് ടണൽ അടുത്ത തവണ ഉയരുമ്പോൾ മേലെഴുതപ്പെടും. ഉടമസ്ഥ കോൺഫിഗറേഷൻ മാറ്റുക, തുടർന്ന് രണ്ട് കാഴ്ചകളും വീണ്ടും വായിക്കുക; RFC 4301 ആ വിഭജനം മറ്റൊരാൾക്ക് വിശദീകരിക്കേണ്ടിവരുമ്പോൾ രണ്ട് ഡാറ്റാബേസുകളും വേർതിരിച്ച് സൂക്ഷിക്കുന്നു.