IPsec бодлого таны орон нутгийн урсгалыг залгиж байна: хэрхэн таних вэ

Ширээн дээрх принтер туннель босох үед хариу өгөхөө болих бөгөөд туннелийн тохиргоонд принтерийг дурдаагүй байна. Ихэвчлэн хамгаалагдсан муж түүнийг хамарч байхаар хангалттай өргөн бичигдсэн байдаг тул машин одоо орон нутгийн сегментэд үлдэх ёстой байсан урсгалыг шифрлэхийг оролдож байна. Суулгасан бодлогыг уншиж үзэх нь баривчлалыг тайлбарлана; зөв газарт нь нарийсгах нь алсын урсгалыг хамгаалалттай байлгана. Амжилтгүй хүсэлтээс тохирох бодлого хүртэлх зам хэдэн минут болно.

Сонгогчийг өөрчлөхөөс өмнө урсгалыг дага

Амжилтгүй хүсэлтээс эхэлж дөрвөн утгыг бич: машин ашиглаж буй эх сурвалжийн хаяг, яг очих газар, цөм сонгох маршрут болон тэр хосод тохирох бодлого.

Эдгээр дөрвөн баримт баривчлал санаатай эсвэл санамсаргүй эсэхийг шийднэ. Алсын сонгогчийн дотор орших очих газар нь зохион бүтээлээр хамгаалагддаг, зохион бүтээл буруу байсан ч. Түүний гадна байгаа боловч баригдсан очих газар нь өөр зүйл тохирч байгааг илэрхийлнэ, сонгогчийг өөрчлөх нь туслахгүй. Хоёр тохиолдол ч нийтлэг бөгөөд тэдгээрийг нэг команд ялгана.

Үүнийг ямар нэг зүйлийг засахаас өмнө хий, учир нь сонирхолтой тохиолдол бол холболтын хамгаалж буй хувийн мужтай давхцаж буй орон нутгийн дэд сүлжээ юм. 192.168.0.0/16 зэрэг танил угтварууд олон сүлжээнд гардаг бөгөөд тэдгээрийн нэгэнд зориулж бичсэн сонгогч таныхыг чимээгүйхэн хамарч болно.

Өөрөөр ажилладаг гурван төрлийн орон нутгийн

Энэ хостад оноосон очих газар, нэг холболт дээрх очих газар, өөр интерфейсийн ардах очих газар нь гурван өөр тохиолдол. Цөм урсгалд хамгаалалт хэрэгтэй эсэхийг шийдэхдээ тус бүрийг өөрөөр авч үздэг.

Гарц өөрөө үүсгэдэг урсгал нь харилцагчаас дамжуулсан урсгалтай ижил биш. Дамжуулсан урсгалд зөв харагдах бодлого нь гарцын өөрийн удирдлагын сессийг барьж чадна, ингэснээр админ туннелийг засаж байхдаа хандалтаа алддаг.

Хэрэгтэй зуршил бол тохиолдлыг чанга дуугаар нэрлэх: энэ пакет надаас ирж байна уу, миний холболт руу явж байна уу, эсвэл намайг дайрч байна уу? Хариу бүр нарийсгах өөр газрыг заана. Тохиолдлыг бичих нь дараагийн хүн ижил ажлыг дахин хийхээс сэргийлнэ.

Хамгаалагдсан муж бүхэл хувийн орон зай бол гурван тохиолдол нэгэн зэрэг дотор нь орж болох бөгөөд шинж тэмдэг нь туннелийн төгсгөлийн цэгээс өөр газар хүрэхгүй машин болно.

Суулгасан бодлогыг унш, файлыг биш

Тохиргооны файлууд санааг дүрсэлдэг; цөм бодитоор тохирох бодлогуудыг хадгалдаг. Хоёуланг нь үзүүлж, зөрүүг эхний олдвор гэж үз.

Эдгээр команд нь очих газарт сонгосон маршрут болон чиглэл бүрт суулгасан бодлогуудыг харуулна:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Маршрут нь пакет аль интерфейсийг ашиглахыг хэлнэ. Бодлогын жагсаалт нь тэр пакетэд дараа нь загвар хэрэглэх эсэхийг хэлнэ, холболтын жагсаалт нь демон ямар сонгогчдыг суулгасан гэж бодож байгааг харуулна. Очих газар алсын сонгогчид гарч байвал та баривчлалыг таамаглахгүйгээр олсон.

Сонгогчийг нарийсга эсвэл очих газрыг тойр

Хоёр дэмжигдсэн засвар байгаа бөгөөд тэд өөр асуултад хариулдаг. Сонгогчийг нарийсгах нь энэ холболт зөвхөн жижиг мужийг хамгаална гэсэн үг; энэ нь өргөн муж алдаа байсан үед зөв. Тойролт нэмэх нь энэ тодорхой очих газрыг хэзээ ч хамгаалж болохгүй гэсэн үг; энэ нь хамгаалагдсан муж үнэхээр өргөн бөгөөд нэг очих газар үл хамаарах зүйл байх үед зөв.

Боломжтой бол эхнийхийг сонго, учир нь жижиг сонгогчийн талаар бодох нь хялбар бөгөөд холболтын тодорхойлолтод харагдана. Өргөн муж санаатай бөгөөд үл хамаарах зүйл нэрлэж болох ганц хост эсвэл дэд сүлжээ бол хоёр дахьыг сонго.

Хоёулаа холболтыг эзэмшдэг тохиргоонд хамаарна. Гараар нэмсэн ажиллагааны үеийн дүрэм дараагийн дахин холбогдох үед алга болж, алдаа нь хэн ч түр шийдлийг санахгүй байх үед буцаж ирнэ.

Дахин суулгахад тэсвэртэй үл хамаарах зүйлс

Өөрчлөлтийн дараа ижил хор хөнөөлгүй хүсэлтийг давтаж, ижил тоолууруудыг хар. Орон нутгийн очих газар хариу өгөх ёстой бөгөөд зорьсон алсын очих газар шифрлэгдсэн урсгалыг үргэлжлүүлэн харуулах ёстой.

Эдгээр хоёр шалгалт нь үл хамаарах зүйл амьд үлдсэн, хамгаалалт үлдээгүйг батална:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Дараа нь туннелийг санаатайгаар салгаж дахин холбож, хоёуланг нь давта. Дахин холбогдохоос өмнө ажиллаж, дараа нь бүтэлгүйтсэн үл хамаарах зүйл буруу давхаргад хэрэглэгдсэн бөгөөд энэ асуудал буцаж ирэх хамгийн нийтлэг арга нь энэ юм.