strongSwan-аас AWS Site-to-Site руу: Child SA яагаад юу ч сонгохгүй байна

IKE туннель өргөгдсөн байж болох ч хүүхэд ассоциаци таны дэд сүлжээг хасаж байна. Эхлээд AWS-ын локал ба алсын CIDR-ыг leftsubnet, rightsubnet-тэй харьцуулна уу.

Консол up гэж харуулж, strongSwan тогтоосон IKE ассоциацийн талаар мэдээлж байгаа ч пакетууд ирэхгүй байна. Дараа нь харьцуулах зүйл нь урьдчилан хуваалцсан түлхүүр биш, харин тал бүр туннель хамгаална гэж боддог префиксүүдийн хос юм. Доорх шалгалтуудыг дарааллаар нь хийгээрэй, учир нь эхний хоёр нь туннель таны трафикийг ерөөсөө дамжуулж чадах эсэхийг шийднэ.

AWS-ын нэрсийг strongSwan-ы нэр томьёо руу хөрвүүлээрэй

AWS холболтыг харилцагчийн талаас тайлбарладаг: харилцагчийн гарцын хаяг ба локал CIDR таных, алсын CIDR нь VPC-ийнх. strongSwan хоёр үзүүрийг left ба right гэж нэрлэдэг, таны префикс leftsubnet-д, VPC-ийн префикс rightsubnet-д байна. Нэг хосыг эргүүлбэл буруу трафикийг хэлэлцэж, сонгодог туннель үүснэ.

AWS холболтод зориулж үүсгэдэг тохиргоог татаж аваад туннелийн хаяг, префиксүүдийг оруулан яг тэр холболтын жишиг гэж үзээрэй. Үүсгэхдээ CIDR-ийн хоёр талбарыг хоосон орхивол үйлчилгээ тал бүрд 0.0.0.0/0 өгөгдмөл утгыг ашиглана. Нарийн префикстэй тохируулсан чиглүүлэгч тэгвэл хэзээ ч таарахгүй тул талбаруудыг бөглөх эсвэл сонгогчийг санаатайгаар өргөтгөөрэй.

Эндхийн зөрүү нь чиглүүлэлтийн алдаа мэт харагдах боловч тийм биш.

AWS-ын бодитоор харж буй хаягийг тогтоогоорой

NAT-ын ард байгаа чиглүүлэгч нөгөө тал хэзээ ч мэдээгүй интерфэйсээс IKE илгээж болно. AWS-д бүртгэгдсэн гарцын хаяг нь AWS сүлжээн дээр харж буй хаяг байх ёстой бөгөөд чиглүүлэгчийг өөрийн өгөгдмөл маршрутыг дагахын оронд мөн тэр локал хаягт бэхлэх ёстой.

conn %default
    local_addrs = 203.0.113.10

strongSwan-д local_addrs нь IKE-ийн эх сурвалжийн хаягийг сонгодог бөгөөд хуучин OpenSwan тохиргоонууд мөн санааг left гэж бичдэг. Үүнийг нийтийн хаягтай интерфэйс рүү чиглүүлж, дараа нь NAT төхөөрөмж дээр өөрөө UDP 500 ба 4500 нь тэр хост руу хүрч байгаа эсэхийг шалгаарай, учир нь өмнөх чиглүүлэгчээс үлдсэн дүрэм тэдгээрийг чимээгүй хаядаг. Зөв сонгогчийн хос буруу эх хаягтай ч бүтэлгүйтдэг бөгөөд бүртгэл саналыг буруутгана. Энэ төөрөгдүүлэлт нь эх хаяг тусдаа шалгалт хийх ёстойн шалтгаан юм.

Дамжуулах дүрмийг таамаглахын оронд баталгаажуулаарай, учир нь өмнөх чиглүүлэгчид зөв байсан дүрэм ихэвчлэн үлддэг.

1 ба 2-р үе шатыг тус тусад нь авч үзээрэй

AWS IKE ба ESP сонголтуудыг тусдаа жагсаалт болгон харуулдаг. Хоёр тал хүлээн авдаг IKE багц нь ESP саналын талаар юу ч хэлэхгүй, учир нь хоёр жагсаалт бие даасан. Хоёулыг нь үүсгэсэн тохиргооноос уншиж, нэг нэгээр нь харьцуулаарай.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Синтакс нь хэрэгжүүлэлтүүдийн хооронд шилждэггүй. OpenSwan-д ажилладаг хос, жишээ нь phase2alg=aes_gcm нь ike=aes256-sha1;modp1024-тэй, strongSwan-ы esp= ба ike= хэлбэрт хөрвүүлэгдэх ёстой бөгөөд алгоритмын нэрс өөр байна. GCM шифрлэхдээ баталгаажуулдаг тул SHA-тай хосолсон CBC багцаас ялгаатай нь тусдаа бүрэн бүтэн байдлын хувиргалт шаарддаггүй. Нэг демоноос нөгөөд хөрвүүлэлгүй буулгасан 2-р үе шатын мөр нь сонгогчийн зөрүү мэт уншигдах татгалзал үүсгэдэг.

Туннелийн заалтыг биш, хүүхэд ассоциацийг шалгаарай

Холболт ачаалагдсан ч хүүхэд ассоциаци үүсэхгүй бол санал эсвэл сонгогчид татгалзагдсан байна. Хүүхэд үүсэж, түүний сонгогчид таны префиксүүдийг хасвал пакетууд туннельд хүрэхээс өмнө шүүгдэнэ. Консолын заалт зөвхөн IKE түвшинг хамардаг тул хоёрын аль нь болсныг хэлж чадахгүй.

ipsec statusall

Хүүхэд аюулгүй байдлын ассоциацийг олж, түүний хажууд хэвлэгдсэн трафикийн сонгогчдыг уншаад, дараа нь үүсгэсэн тохиргооны префикстэй харьцуулаарай.

Локал префиксийн доторх хостноос VPC префиксийн доторх хост руу туршиж, буцах замыг болон AWS талын аюулгүй байдлын бүлэг эсвэл сүлжээний ACL-ыг шалгаарай. Зөв сонгогчид пакетыг дараа хаягдахаас хамгаалдаггүй.

Сонгогчид таарсны дараа ч бүтэлгүйтвэл

Хоёр талын маршрут туннель рүү чиглэж байгааг баталгаажуулж, дараа нь NAT төхөөрөмж трафикийг бодлого хүлээгээгүй байдлаар дахин бичихгүй байгааг баталгаажуулаарай. Бодлогод суурилсан туннель пакетийн хаягуудыг тааруулдаг тул бодлогын шийдвэрийн дараа хэрэглэсэн хөрвүүлэлт үр дүнг өөрчилдөг.

Өөр санал өөрчлөхөөс өмнө тал бүрд нэг ирж буй, нэг явж буй пакетыг бүртгээрэй.

Тасалбарт сонгогчид, 1 ба 2-р үе шатын саналууд болон эх хаягийг бичээрэй. Эдгээр дөрвөн утга нь утасгүйгээр ихэнх site-to-site алдааг тайлбарладаг.

Холбоотой нийтлэлүүд