IKEv2 клиент рүү түүний олгосон виртуал IP дээр хүрэх

Гарц нь IKEv2-оор өөртэйгөө холбогдсон зөөврийн компьютер рүү холболт эхлүүлэх шаардлагатай бөгөөд тэр клиентэд олгосон виртуал хаягийг ашиглана. Туннель нээлттэй, клиент гарцын ард байгаа бүх зүйлд хүрдэг ч эсрэг чиглэл нь одоо ч бүтэлгүйтдэг. Энэ тэгш бус байдал хэвийн: хэлэлцээр хийсэн бодлого нь аль хаягууд ярьж болохыг тодорхойлдог, аль тал эхэлж болохыг биш. Гарцаас эхэлсэн хүсэлт ажиллахын тулд гурван зүйл таарах ёстой.

Туннель эх хаягийг засдаггүй

CHILD SA нь траффикийн сонгогчдын хосыг хамардаг, тал бүрт нэг, мөн тэр хосын хоёр чиглэлд траффикийг зөвшөөрдөг. Аль түнш IKE солилцоог эхлээд нээсэн тухай юу ч хэлдэггүй. Эхэндээ туннелийг сонсож байсан гарц ч эхний аппликейшн пакетийг илгээж чадна, хэрэв сонгосон эх ба очих газар суулгасан сонгогчдын дотор орвол. Хүсэлт буруу интерфэйсээс гарвал туннельд тохирохгүй болно.

Клиент рүү чиглэсэн маршрутлалт шаардлагатай бөгөөд хангалтгүй. Бодлого нь таны бодитоор ашигласан эхийг зөвшөөрөх ёстой.

Суулгасан бодлогыг унш, конфигурацийн файлыг биш

Идэвхтэй холбоо болон түүний сонгогчдоос эхэл, учир нь динамик хуваарилалт нь цөмд суулгасан зүйлийг өөрчилдөг.

ipsec statusall
ip xfrm policy

Төлөвийн гаралт нь холболт, олгосон виртуал хаяг, тэр түншид одоо хүчинтэй сонгогчдыг нэрлэнэ. Бодлогын дамп нь ижил сонгогчдыг цөмийн төлөв болгон харуулдаг бөгөөд пакет сонголт нь яг түүнээс зөвлөгөө авдаг. Гарцын талын сонгогчийг аппликейшн ашиглах эхтэй харьцуул, учир нь зөрүү нь алдааг шууд тайлбарладаг. Клиентийн одоогийн хаягийг унш, өмнөх сессийн хаягийг биш, учир нь дахин олгосон VIP хуучин бодлогыг хүчингүй болгодог.

Клиент пакет ирэх газарт сонсох ёстой

Төгс бодлого ч гэсэн үйлчилгээ зөвхөн loopback-д холбогдсон үед хаалттай портод хүрдэг. Сонсогч нь олгосон хаяг дээр эсвэл локал орлуулагч хаяг дээр байх ёстой.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Сокетийн жагсаалт порт виртуал хаягтай холбогдсон эсэхийг, галт хананы дүрэм хамгаалагдсан эхээс шинэ холболт хүлээн авч байгаа эсэхийг харуулна. Тогтсон холболтод зориулж бичсэн дүрэм гарцаас эхэлсэн холболтыг нэвтрүүлэхгүй. Үйлчилгээний өөрийн баталгаажуулалтыг хадгал, учир нь туннелээр ирэх нь пакет аль сүлжээнээс ирснийг л тогтоодог. Өөрийн NAT-ын ард байгаа клиентэд орж ирэх портын чиглүүлэлт одоо ч шаардлагагүй, учир нь эдгээр хүсэлт одоо байгаа туннелийн дотор явдаг.

Шинэ чиглэлийг тусад нь турш

Клиентээс сервер рүү амжилттай хүсэлт энэ замыг хэзээ ч туршдаггүй. Хүсэлтийг гарцаас үүсгэж, хоёр төгсгөлийг ажигла.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Маршрутын хайлт нь гарц ямар эх, интерфэйс ашиглахыг хариулдаг бөгөөд бодлого зөвшөөрөх ёстой утга нь энэ юм. Бичлэг нь хүсэлт нийтийн интерфэйс дээр энгийн TCP биш, ESP дотор гарч байгааг харуулах ёстой. Клиент дээр ирэлт болон үйлчилгээ хариу өгсөн эсэхийг баталгаажуулахын тулд тайлагдсан траффикийг бич. Хэрэв хүсэлт сүлжээнд ESP-гүй алга болвол клиентийн галт ханаас өмнө эх хаягийг сэжиглэ.

Түлхүүр солигдсоны дараа эсвэл дахин холбогдсоны дараа тестийг давт, учир нь VIP өөрчлөгдөж болно. Зөвхөн дараагийн сесс хүртэл ажилладаг зам нь ажилладаг зам биш.