XFRM ഡിഫോൾട്ട് റൂട്ട് IKE, ESP എന്നിവയെ വിഴുങ്ങി: പുറം പാത നിലനിർത്തുക

ട്രാഫിക് സംരക്ഷിതമാണ്, ടണൽ പ്രവർത്തിക്കുന്നു, പിന്നെ അടുത്ത കീ പുതുക്കലിൽ അത് മരിക്കുന്നു. XFRM ഇന്റർഫേസിലൂടെയുള്ള ഡിഫോൾട്ട് റൂട്ട് നിങ്ങൾ സംരക്ഷിക്കാൻ ആഗ്രഹിച്ച ട്രാഫിക്കിനെ വിവരിച്ചു. സംരക്ഷണം തുടരാൻ ആവശ്യമായ പാക്കറ്റുകളെയും അത് വിഴുങ്ങി.

ബന്ധപ്പെട്ട രണ്ട് ലക്ഷ്യസ്ഥാനങ്ങൾ പരസ്പരം മാറ്റാവുന്നവയല്ല. റൂട്ടിംഗ് അത് വ്യക്തമായി പറയണം.

പിയർ തിരയൽ യഥാർത്ഥത്തിൽ എവിടെ പോകുന്നു

സജീവ നിയമങ്ങൾ, XFRM റൂട്ട് ഉള്ള പട്ടിക, പിയറിന്റെ പൊതു വിലാസം എന്നിവ രേഖപ്പെടുത്തുക. തുടർന്ന് പുറം കണക്ഷൻ അതിന്റെ യഥാർത്ഥ ഉറവിടവും മാർക്കും സഹിതം ഏത് പാതയിലൂടെ പോകുമെന്ന് നോക്കുക. പൊതുവായ ലക്ഷ്യസ്ഥാനം ആ നിയന്ത്രണ പാതയെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. യഥാർത്ഥ ഉറവിടവും മാർക്കും മാത്രമാണ് ഉപയോഗപ്രദമായ ഉത്തരം നൽകുന്നത്.

വിജയകരമായ പ്രാരംഭ കണക്ഷനും കുറച്ച് മാത്രമേ തെളിയിക്കുന്നുള്ളൂ. റൂട്ട് ഇൻസ്റ്റാളേഷൻ ഉത്തരം മാറ്റിയതിന് ശേഷമാണ് പരാജയം പലപ്പോഴും പ്രത്യക്ഷപ്പെടുന്നത്. സ്റ്റാർട്ടപ്പ് വിജയിക്കുന്നു, പിന്നെ ആദ്യ പുതുക്കൽ വിജയിക്കുന്നില്ല.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

പിയറിനായുള്ള തിരയൽ XFRM ഇന്റർഫേസിൽ എത്തിയാൽ, പുറം പാക്കറ്റുകൾ അവർ തന്നെ നിർമ്മിക്കുന്ന ടണലിലേക്ക് റൂട്ട് ചെയ്യപ്പെടുന്നു. അതാണ് ലൂപ്പ്, ഒരു കമാൻഡിൽ കാണാം.

ആധുനിക ഗേറ്റ്വേയിലെ ഒഴിവാക്കൽ ഓപ്ഷനുകൾ

strongSwan-ന്റെ റൂട്ട് അടിസ്ഥാനമാക്കിയ VPN സംബന്ധിച്ച ഡോക്യുമെന്റേഷൻ രണ്ട് പ്രായോഗിക ഉത്തരങ്ങൾ നൽകുന്നു. ഒന്ന് IKE, ESP എന്നിവ അടയാളപ്പെടുത്തുന്നു, XFRM പട്ടികയിലേക്ക് ചൂണ്ടുന്ന നിയമം അവയ്ക്ക് ബാധകമാകാതിരിക്കാൻ. മറ്റൊന്ന് പിയർ റൂട്ടോ ഒഴിവാക്കലോ അവശേഷിപ്പിക്കുന്നു, തിരയലിന് ഇപ്പോഴും എത്താൻ കഴിയുന്നത്.

നിങ്ങളുടെ നിയമക്കൂട്ടത്തിന് പാർശ്വഫലങ്ങളില്ലാതെ പ്രകടിപ്പിക്കാൻ കഴിയുന്നത് തിരഞ്ഞെടുക്കുക. സ്റ്റാക്കിന്റെ ബാക്കി ഇതിനകം മാർക്കുകൾ ഉപയോഗിക്കുന്നുണ്ടെങ്കിൽ മാർക്ക് വ്യക്തമാണ്. അതേ മാസ്ക് മറ്റൊരു നിയമത്തിൽ മറ്റൊന്ന് അർത്ഥമാക്കുന്നുവെങ്കിൽ അത് അപകടമാണ്. രണ്ട് പാക്കറ്റ് തരങ്ങൾക്കും ഏതായാലും ഈ ചികിത്സ ആവശ്യമാണ്.

IKE മാത്രം അടയാളപ്പെടുത്തിയാൽ ഡാറ്റാ പാക്കറ്റുകൾ പിടിച്ചെടുത്ത പാതയിൽ തന്നെ തുടരും. അത് ഹാൻഡ്ഷേക്ക് ചെയ്ത ശേഷം ഒന്നും വഹിക്കാത്ത ടണൽ സൃഷ്ടിക്കുന്നു.

മാർക്ക് എന്നത് പാക്കറ്റിന്റെ fwmark-ൽ ഗേറ്റ്വേയിൽ മറ്റൊന്നും അവകാശപ്പെടാത്ത ഒരു ബിറ്റാണ്: 0x1, മാസ്ക് 0x1-നൊപ്പം സാധാരണ തിരഞ്ഞെടുപ്പാണ്, ഒഴിവാക്കൽ പ്രവർത്തിക്കാൻ അത് രണ്ട് സ്ഥലങ്ങളിൽ സജ്ജമാക്കണം. Charon-ന് അത് IKE സോക്കറ്റിൽ ആവശ്യമാണ്, ചൈൽഡ് കണക്ഷന്റെ ഇൻബൗണ്ട്, ഔട്ട്ബൗണ്ട് മാർക്ക് ക്രമീകരണങ്ങൾക്കും അതേ മൂല്യം വേണം, എൻകാപ്സുലേറ്റ് ചെയ്ത പാക്കറ്റുകളും മാർക്ക് ചെയ്ത് പുറത്തുപോകാൻ. 0xffffffff-ന് പകരം 0x1 മാസ്ക് ബാക്കിയുള്ള ബിറ്റുകൾ സ്വതന്ത്രമാക്കുന്നു, അതേ ഹോസ്റ്റിൽ മറ്റൊരു സബ്സിസ്റ്റം ഇതിനകം പാക്കറ്റുകൾ അടയാളപ്പെടുത്തുന്നുണ്ടെങ്കിൽ അത് പ്രധാനമാണ്. രണ്ടും സജ്ജമാക്കിയാൽ, നിയമം ഒഴിവാക്കലായി എഴുതപ്പെടുന്നു, അതിനാൽ മാർക്ക് ചെയ്ത പാക്കറ്റുകൾ XFRM റൂട്ട് ഉള്ള പട്ടിക ഒഴിവാക്കി പ്രധാന പട്ടികയിലേക്ക് വീഴുന്നു:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

തുടർന്ന് മാർക്ക് പ്രയോഗിച്ച് ഉത്തരം വായിക്കുക. അതില്ലാതെ നിങ്ങൾ സംരക്ഷിത ട്രാഫിക് പോകുന്ന പാത പരിശോധിക്കുന്നു, ഇത് ഈ വിഭാഗത്തിന്റെ ചോദ്യത്തിന് വിപരീതമാണ്.

യാന്ത്രിക ഇൻസ്റ്റാളേഷൻ ബിൽഡിനെക്കുറിച്ച് എന്താണ് അനുമാനിക്കുന്നത്

XFRM ഇന്റർഫേസിനുള്ള യാന്ത്രിക റൂട്ട് ഇൻസ്റ്റാളേഷൻ strongSwan പതിപ്പിനെയും അതിന്റെ കോൺഫിഗറേഷനെയും ആശ്രയിച്ചിരിക്കുന്നു. ഇന്റർഫേസ് ID, ഇൻസ്റ്റാൾ ചെയ്ത നയം, അസോസിയേഷൻ എന്നിവയെല്ലാം ഉദ്ദേശിച്ച ഒബ്ജക്റ്റുകളെ സൂചിപ്പിക്കണം. പൊരുത്തക്കേട് എവിടെയോ യഥാർത്ഥത്തിലേക്ക് നിശബ്ദമായി ചൂണ്ടുന്ന റൂട്ടായി പ്രത്യക്ഷപ്പെടുന്നു.

മറ്റൊരു ഗേറ്റ്വേയിൽ നിന്ന് പട്ടിക നമ്പറോ മാർക്ക് മാസ്കോ പകർത്തുന്നതാണ് കൂട്ടിയിടികൾ ആരംഭിക്കുന്ന വഴി. ആദ്യം അത് ഇതിനകം എന്താണ് ഉപയോഗിക്കുന്നതെന്ന് പരിശോധിക്കുക. കൂട്ടിയിടി നിങ്ങൾ മാറ്റാൻ ഉദ്ദേശിച്ച ടണലിന് വളരെ അപ്പുറത്തുള്ള ട്രാഫിക്കിനെ ബാധിക്കുന്നു, ലക്ഷണം അപൂർവ്വമായി പകർപ്പിലേക്ക് ചൂണ്ടുന്നു.

പിയർ വിലാസത്തിലെ മാറ്റങ്ങൾ ഡിസൈനിന്റെ ഭാഗമാണ്. ഇന്നലത്തെ വിലാസത്തിനുള്ള ഹോസ്റ്റ് റൂട്ട് എൻഡ്പോയിന്റ് വീണ്ടെടുക്കൽ പ്ലാനല്ല, എന്നാൽ മാർക്ക് ആ മാറ്റത്തെ അതിജീവിക്കുന്നു.

ആദ്യ പുതുക്കൽ നിരീക്ഷിക്കുക

സംരക്ഷിത റൂട്ടുകൾ ഇൻസ്റ്റാൾ ചെയ്ത ശേഷം പുറം പാത പരിശോധിക്കുക, അതിന് മുമ്പല്ല. തുടർന്ന് അടുത്ത പുതുക്കലും ഒരു ആപ്ലിക്കേഷൻ കൈമാറ്റവും നിരീക്ഷിക്കുക. പരാജയം സാധാരണയായി ആ പരിവർത്തനത്തിൽ പ്രത്യക്ഷപ്പെടുന്നു, സ്റ്റാർട്ടപ്പിൽ അല്ല.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

സംരക്ഷിത ഡിഫോൾട്ട് താൽക്കാലികമായി നീക്കം ചെയ്താൽ സാധാരണയായി കണക്റ്റിവിറ്റി തിരികെ വരും. ആ ഫലം രോഗനിർണ്ണയപരമാണ്, അന്തിമമല്ല.

ആന്തരിക ട്രാഫിക്കും അത് വഹിക്കുന്ന പുറം പാക്കറ്റുകളും തമ്മിൽ സ്ഥിരമായ വിഭജനമാണ് ലക്ഷ്യം. തിരഞ്ഞെടുത്ത സംവിധാനവും അതിന്റെ പട്ടികയോ മാർക്കോ ഗേറ്റ്വേ കുറിപ്പുകളിൽ എഴുതുക. അല്ലെങ്കിൽ നിയമങ്ങളിൽ സ്പർശിക്കുന്ന അടുത്ത വ്യക്തി ലൂപ്പ് വീണ്ടും കൊണ്ടുവരും.