IPsec аюулгүй байдлын бодлого яагаад маршрутын хүснэгтийн бичлэг биш вэ
Ажиллаж буй маршрут IPsec-ийн талаар юу ч батлахгүй. Нэг урсгалын маршрутын хайлт болон бодлогын селекторуудыг уншаад, дараа нь ассоциаци түүнийг хамарч байгааг баталгаажуулна уу.
Туннелээр 10.20.0.5 руу ping илгээхэд юу ч буцаж ирэхгүй, харин маршрутын хүснэгт тэр дэд сүлжээнд хүрэх боломжтой гэж шаарддаг. Маршрутлалт болон IPsec өөр өөр асуултад хариулдаг бөгөөд зөвхөн нэг нь хүртээмжийн тухай. Урагшлах хайлт замыг сонгоод, дараа нь аюулгүй байдлын бодлогын мэдээллийн сан тэр замыг хамгаалах, хэвээр үлдээх эсвэл татгалзах эсэхийг шийддэг. Хоёр нь зөрчилдвөл пакет чимээгүй үхдэг тул тэдгээрийг энэ дарааллаар уншина уу.
Хүснэгтээс биш, хайлтаас эхэл
Цөмөөс энэ нь үнэхээр юу хийхийг асуу: ip route get 10.20.0.5 сонгосон маршрут, гарах интерфейс болон ашиглах эх хаягийг хэвлэнэ. Угтвар, бодлогын дүрэм, тэмдэг эсвэл давуу эх сурвалж энэ хариултыг өөрчилж болох тул амьд хайлт хүснэгтийг нүдээр уншихаас илүү.
Хамгаалагдсан хүрээний доторх очих газрыг шалга, гарцын хаягийг биш. Эсрэг талын гарц руу хүрэх нь ямар нэг маршрут байгааг л баталдаг; энэ нь танд үнэхээр хэрэгтэй дэд сүлжээний талаар юу ч хэлэхгүй. Дараа нь хайлтын сонгосон интерфейс туннель ашиглана гэж хүлээж буй интерфейс мөн эсэхийг баталгаажуул.
Хоёр талд селекторуудыг тааруул
Бодлогын мэдээллийн сан өөрийн бичлэгтэй бөгөөд бичлэг бүр чиглэл, эх сурвалж, очих газар, протоколыг нэрлээд, тохирох пакетуудад юу тохиолдох ёстойг хэлдэг. Тэдгээрийг жагсаахын тулд ip xfrm policy ашигла; тугууд үйлдэл нь хамгаалалт, тойрч гарах эсвэл блоклох эсэхийг харуулна. Селекторууд нь таны туршилтын урсгалаас өргөн эсвэл нарийн бодлого түүнтэй тохирохгүй бөгөөд пакет хамгаалалтгүй гарна. Энэ бол таны хайж буй гэмтэл, алга болсон маршрут биш.
Бодит утгуудыг харьцуул: эх сурвалж, очих газар, протокол, портууд. Хайлт нэг хаягийн хосыг шийдсэн бол бодлогын бичлэг өөр хосыг хамарч байвал хоёр харагдац өөр урсгалыг дүрсэлж байна. Дүгнэлт хийхээс өмнө хоёуланг нь ижил кортежоор дахин ажиллуул, эс бөгөөс замд хэзээ ч байгаагүй бодлогыг засах болно.
Бодлогын тохирол нь суулгасан төлөв биш
Тохирох бодлого пакетыг хамгаалах ёстой гэж л хэлдэг; хамгаалалтыг гүйцэтгэхийн тулд цөмд аюулгүй байдлын ассоциаци хэрэгтэй хэвээр. Тэдгээрийг ip xfrm state-ээр, эсвэл хэлэлцээрийг strongSwan явуулж байвал swanctl --list-sas-аар жагсааж, бичлэг бүрийн селектор болон тоолуурыг унш.
Бодлого тохирох боловч ижил селекторуудыг ямар ч ассоциаци хамрахгүй бол пакетыг тодорхой текстээр илгээхийн оронд хаяна. Туннель ажиллаж байхад нэг дэд сүлжээ бүтэлгүйтэх үед хайх ёстой хаялт нь энэ. Тоолуурууд үлдсэнийг хэлнэ: хэзээ ч өсдөггүй ассоциаци хэзээ ч сонгогдоогүй, харин өсөж байгаад хаялтаар төгссөн нь холын тал руу заана. Селекторуудыг засах болон түлхүүр сэргээх нь өөр засвар тул тохиргоог хүрэхээс өмнө алийг нь хэрэгтэйг шийд.
Маршрутад суурилсан туннель юу шаардсаар байна
XFRM интерфейс туннелийг маршрутлаж болох төхөөрөмж мэт харагдуулна, энэ нь үнэхээр ашигтай. Гэхдээ пакет тэнд хүрсний дараа юу болохыг шийддэг бодлого болон төлөвийг арилгахгүй. Маршрут дараагийн алхмыг л өгнө, үүнээс илүүгүй.
Төхөөрөмж байгаа бөгөөд маршрут түүн рүү зааж байтал ямар ч ассоциаци дотоод селекторуудтай тохирохгүй бол пакетыг хаяна, маршрутыг хэрхэн зассан ч түлхүүр эсвэл селектор үүсэхгүй. Интерфейсийг таны маршрутласан ижил эх сурвалж, очих газраар шалгаад, дараа нь түүнийг төлөвийн жагсаалттай харьцуул.
Ямар нэгэн зүйл засахаас өмнө эзэмшлийг тодорхойл
Хостын галт хана хоёр мэдээллийн сангийн аль нь ч мэдэхгүй гурав дахь шийдвэрийг нэмнэ. Зөв маршрут, тохирох бодлого, суулгасан ассоциаци бүгд байсан ч хаягдсан пакетаар төгсөж болох бөгөөд програмын зүгээс зөвхөн хугацаа дууссаныг мэдээлнэ. IPsec-ийг буруутгахаас өмнө галт хана хамгаалагдсан урсгалыг зөвшөөрч байгааг батал. Туннелийн төхөөрөмж болон физик интерфейс дээр барих нь шифрлэлтийн аль талд пакет алга болсныг харуулна.
Тохиргооны эзэмшил таны засвар дахин эхлүүлсний дараа үлдэх эсэхийг шийднэ. Нэг компонент төлөв суулгаж, нөгөө нь маршрутуудыг удирдаж болох бөгөөд хоёр дахь руу гараар хийсэн засвар туннель дараагийн удаа өргөгдөхөд дарж бичигдэнэ. Эзэмшигч тохиргоог өөрчилж, дараа нь хоёр харагдацыг дахин унш; RFC 4301 энэ хуваагдлыг өөр хэнд нэгэн тайлбарлах шаардлагатай үед хоёр мэдээллийн санг тусдаа барина.