IPsec траффикийн селекторууд: юуг хамардаг, юуг хамардаггүй

Траффикийн селекторууд нь IPsec хэлэлцээрийн хамгаалдаг дотоод траффикийг нэрлэдэг бөгөөд хосыг таамаглахгүй, хэлэлцээрээр тодорхойлдог. Хоёр төгсгөл бие биенээ төгс баталгаажуулж чаддаг хэдий ч аль пакетууд туннелийн дотор хамаарах талаар санал зөрөлдөж болно. Энэ зөрүү нь холболтын төлөвт харагдахгүй бөгөөд төлөв нь ихэвчлэн эрүүл туннель гэж мэдээлдэг. Селекторуудыг хоёр төгсгөлөөс уншиж, дараа нь нэг очих газрыг дагавал ямар ч бодлогын засвараас илүү хурдан олддог.

Тэдгээрийг хоёр төгсгөлөөс унш

Төгсгөл бүр өөрийн талыг локал, нөгөө талыг алслагдсан гэж тодорхойлдог. Тиймээс ижил префиксийн хос хоёр тохиргоонд солигдсон байдлаар харагдана, энэ нь зөв бөгөөд зөрчил биш. Ажиллаж буй хэлэлцээр цаасан дээр буруу харагдах үед хамгийн түрүүнд хийх зүйл бол өнцгийг эргүүлэх юм. Хоёр файлыг солилгүйгээр хажуу хажууд харьцуулах нь байхгүй зөрүүг бий болгодог.

Утгууд нь үргэлж ганц дэд сүлжээ байдаггүй. IKEv2 селекторууд хаягийн муж, протоколын дугаар, портын мужийг зөөж чаддаг бөгөөд ингэснээр бодлого бүх сүлжээний оронд нэг үйлчилгээг хамгаалдаг. Төлөвлөсөн траффикаас нарийн селектор нь зарим очих газрыг зөөж, бусдыг чимээгүйгээр хасаж хаядаг туннель үүсгэдэг.

Ямар нэг зүйлийг өөрчлөхөөс өмнө хоёр талыг нэг хүснэгтэд бич. Энэ дасгал ихэвчлэн тохиргооны файлд хүрэлгүйгээр асуудлыг шийддэг.

Нарийсгах нь хариулагчийн шийдвэр

Эхлүүлэгч санал болгодог бөгөөд хариулагч зөвхөн дэд олонлогийг хүлээн авч болно. IKEv2 хариулагчид санал болгосон траффикийн селекторуудыг нарийсгахыг зөвшөөрдөг бөгөөд нарийсгасан үр дүн нь бодитоор суулгагддаг зүйл юм. Тиймээс эхлүүлэгчийн тохиргоог унших нь хэлэлцээрийг биш, саналыг тодорхойлдог.

Иймээс клиентэд нэмсэн дэд сүлжээ нь ажиллаж буй туннель үүсгэсэн ч шинэ очих газрыг үгүйсгэж болно. Сервер саналыг өөрийн бодлого зөвшөөрөх хэмжээнд нарийсгасан бол клиентийн файл өргөн мужийг жагсаасан хэвээр байна. Зөвхөн хэлэлцээрээр тохирсон төлөв л үнэнийг харуулна: Linux дээр ip xfrm policy болон strongSwan-ийн IKEv2 баримт бичигт байх child SA жагсаалт нь шаардсаныг биш, суулгасныг мэдээлдэг. Хоёр нь зөрчилдвөл хариулагчийн бодлогыг өөрчлөх ёстой.

Татгалзсан санал нь нарийсгаснаас өөр шинж тэмдэг. Татгалзал хэлэлцээрийн бүртгэлд гарч, child холбоог огт үлдээдэггүй.

Нэг очих газрыг эхнээс эцэс хүртэл дага

Клиент ашиглах бодит очих газар болон эх хаягийг сонгоод, тэр хосыг гурван бие даасан шийдвэрээр дамжуул. Зам нь замыг сонгоно, селектор тухайн зам хамгаалагдсан эсэхийг шийднэ, галт хана пакетыг зөвшөөрсөн эсэхийг шийднэ. Тус бүр дангаараа бүтэлгүйтэж болох бөгөөд өргөн селектор бусдын аль нэгийг ч засдаггүй.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Замын асуулга нь пакетыг зөөх интерфейс болон эх хаягийг нэрлэнэ. Бодлогын жагсаалт нь тэр хосын тохирох туннелийн бодлого байгаа эсэхийг, түүний чиглэл, түвшинг оруулан харуулна. SA жагсаалт нь тохирсон child селекторуудыг тоолууруудтай хамт харуулдаг тул траффик туршсаны дараа тэг пакеттай child холбоо нь илгээж буйг хасаж буй селекторуудын гарын үсэг юм. Гурван команд, гурван өөр хариулт, тэдгээрийн зөвхөн нэг нь чимээгүй уналтыг тайлбарладаг.

Хэрэв апп бүтэлгүйтсээр байхад child тоолуурууд хөдөлж байвал асуудал туннелийн цаана байна. Энэ нь мөрдөн шалгалтыг селекторууд руу биш, алслагдсан хостын сонсогч эсвэл галт хана руу шилжүүлдэг.

Хоёр зорилгыг тусдаа бариарай

Оффисын дэд сүлжээг хамгаалах, бүх хөтлөлтийг алслагдсан гаралтаар илгээх нь өөр селектортой өөр шаардлага юм. Нэгэнд нь зориулж бүтээсэн профайл нөгөөд нь ховор тохирдог бөгөөд хоёрыг холих нь алдагдал эсвэл эвдэрсэн хуваалт болдог. Хамгаалагдсан мужийг өргөтгөх нь хоёр төгсгөл болон тэдгээрийн дамжуулах бодлогыг өөрчлөх гэсэн үг, учир нь нэг талын өөрчлөлт татгалзсан санал болдог. Жижиг засварын дараа ажиллаж байсан туннель ажиллахаа болих хамгийн түгээмэл зам энэ юм.

Селекторууд криптографын хамрах хүрээг тодорхойлдог, замууд замыг сонгодог, аппууд өөрийн зөвшөөрлийг хэрэгжүүлдэг. Бүхнийг хамарсан туннель ч loopback-д уясан үйлчилгээнд хүрч чадахгүй, туннель руу чиглэсэн зам ч очих газрыг багтаасан селектор шаарддаг. Гурвыг нэг туршилтын хүсэлтэд тулган шалга, зөрүү өөрөө нэрлэгдэнэ.