Олон дэд сүлжээтэй IPsec буцах урсгалыг алдаж байна уу? reqid-г тоолно уу

Урсгал нэг талбайгаас гарч хэзээ ч буцаж ирдэггүй, хоёр гарц дууссан хэлэлцээрийг мэдээлдэг, цорын ганц ул мөр нь хариултгүй гарсан пакетуудын овоо юм. Linux төгсгөлийн цэг дээр ердийн шалтгаан нь шифрлэлтийн хүч, MTU эсвэл чиглүүлэлтийн хүснэгт биш. Энэ нь бодлогын бичлэгүүдийн нарийвчлал ба бодлого бүрийг аюулгүй байдлын холбоотой холбодог дугаар юм. Доорх журам нь өөр зүйлд хүрэхээс өмнө эдгээр хоёр санг уншдаг.

Ямар нэг зүйлийг өөрчлөхөөс өмнө шинж тэмдгийг салга

Дууссан IKE хэлэлцээртэй нэг чиглэлийн доголдол нь асуудлыг өгөгдлийн замд хүртэл нарийсгана. Эсвэл гарсан бодлого таарч хариултыг хаясан, эсвэл хариулт огт ирээгүй, учир нь нөгөө талд түүнийг илгээх юм байгаагүй. Аппликейшнаас харвал хоёулаа ижил харагдана, харин xfrm сангууд тэдгээрийг ялгадаг.

MTU-аас эхэлж болохгүй. Буруу MTU нь гацалт ба фрагментацийн шинж тэмдэг өгдөг, өсөж буй гарсан тоолууртай цэвэр чиглэлийн хуваагдал биш.

Бодлогын сан ба төлвийн санг унш

Linux дээр шифрлэлтийг бодлогын бичлэгүүд шийддэг, тиймээс тохирох бодлого, чиглүүлэлт биш, пакетыг туннелд оруулдаг. Бичлэг бүрийн селектор, чиглэл, давуу эрх, загварыг харахын тулд ip xfrm policy, үүссэн холбоог reqid-ийн хамт харахын тулд ip xfrm state ажиллуулна уу. Бодлого ба холбоо нь энэ reqid-ээр холбогддог.

Гурван чиглэлийг бүгдийг нь хар. Гарсан ба орсон нь энэ хост руу болон түүнээс урсгалыг хамарна; дамжуулах чиглэл нь хост бусдын өмнөөс чиглүүлэх үед чухал. Нэг чиглэлд байхгүй эсвэл тохирохгүй бичлэг нь ямар ч криптографын алдаагүйгээр нэг чиглэлийн үр дүнг тайлбарлана.

Сонгодог тэгш бус байдал: хэд хэдэн дэд сүлжээнд нэг reqid

Түгээмэл доголдол нь бүх хэлэлцсэн дэд сүлжээний бодлогыг нэг reqid-ийн доор суулгадаг түншээс үүсдэг бөгөөд энэ нь racoon-ы generate_policy require үед тохиолддог. Дараа нь урсгал хамгийн сүүлд үүссэн холбоогоор гарч, нөгөө тал дэд сүлжээ бүрт тусдаа холбоо хадгална. Хариултууд нь reqid нь тэдгээрийг хүлээж авах ёстой бодлогыг заахгүй холбоо руу ирж, цөм тэдгээрийг тайлж уншсаны дараа хаядаг.

Засвар нь тохиргооны өөрчлөлт, галт хананы дүрэм биш: generate_policy unique; бодлого бүрт өөрийн reqid-ийг өгдөг тул түншийн бодлого тус бүрийн холбоонд тохирох түнш байна. Үүнийг хэрэглэж, дахин хэлэлцээд, амжилт зарлахаасаа өмнө хүлээж буй дэд сүлжээнүүдийн ялгаатай reqid-уудыг тоол.

Хэрэв хоёр дэд сүлжээ нэг reqid-ийг хуваалцсаар байхад нөгөө тал хоёрыг хүлээж байвал та тэгш бус байдлыг оллоо. Тохирлыг бичиж үлдээ, учир нь энэ нь дараагийн өөрчлөлт үүнийг зассан эсвэл хадгалсан гэдгийн нотолгоо юм.

Селекторууд тохиргооноос чинь биш, хэлэлцээрээс гардаг

Хамгаалагдсан мужууд нь нэг талын хүссэн биш, хоёр үзүүрийн тохирсон мужууд юм. Өргөн алслагдсан мужтай тулгаж хост хосыг санал болгож буй клиент гарцын нарийсгасан хувилбарыг авдаг бөгөөд клиент үүнийг өргөтгөж чадахгүй. Орон нутгийн файл дахь селекторуудын оронд суулгасан селекторуудыг унш.

Зорилго нь эсрэг байх үед, өөрөөр хэлбэл нэг очих газрыг туннелээс гадуур байлгах шаардлагатай үед автоматаар суулгасан бичлэгийг ялахын тулд бага давуу эрхийн дугаартай тойрч гарах бодлого нэм. Загваргүй бодлого нээлттэй текстийг зөвшөөрдөг нь түүнийг алдаа засах алхам биш, өөрчлөлтийн бүртгэлд зориулсан санаатай үл хамаарах зүйл болгодог.

Энэ дарааллаар шалгаж, хэрхэн буцаахаа мэд

Дэд сүлжээ бүрийн бодлогыг хоёр чиглэлд жагсаа, хост чиглүүлж байвал дамжуулах чиглэлийг оруулаад. Ялгаатай reqid-уудыг тоолж, хүлээж буй талд бодлого бүрт нэг байгааг батал. Суулгасан селекторуудыг хэлэлцсэнтэй харьцуул. Түлхүүр шинэчилсний дараа холбоо тус бүрийн тоолуурыг дахин унш, учир нь шалгасан холбоо чинь аль хэдийн алга болсон байж болно. Замуудыг хамгийн сүүлд шалга, учир нь алслагдсан дэд сүлжээ рүү замын дутагдал цэвэр бодлогын тоолууртай төстэй нэг чиглэлийн шинж тэмдэг үүсгэдэг.

Түншийг өөрчлөхөөс өмнө хоёр xfrm командын одоогийн гаралтыг хадгал. Хэрэв шинэ тохиргоо буцах чиглэлийг сэргээхгүй бол тэр гаралтыг сэргээх нь туннелийг ой санамжаас дахин барихаас хурдан буцаалт бөгөөд харьцуулалтыг шударга байлгана.