XFRM-ийн анхдагч маршрут IKE болон ESP-г залгив: гадаад замыг хадгал

Хөдөлгөөн хамгаалагдсан, туннель ажиллаж байгаад дараагийн түлхүүр шинэчлэлтэд үхнэ. XFRM интерфэйсээр дамжих анхдагч маршрут нь таны хамгаалахыг хүссэн хөдөлгөөнийг тодорхойлж байв. Энэ нь хамгааллыг үргэлжлүүлэхэд шаардлагатай пакетуудыг ч залгив.

Холбогдох хоёр чиглэл нь хоорондоо солигдохгүй. Маршрутлалт үүнийг тодорхой хэлэх ёстой.

Хань хайлт үнэндээ хаашаа явдаг вэ

Идэвхтэй дүрмүүд, XFRM маршрут агуулсан хүснэгт болон ханийн нийтийн хаягийг тэмдэглэ. Дараа нь гадаад холболт жинхэнэ эх үүсвэр, тэмдэгтэйгээр ямар зам сонгохыг хар. Ерөнхий чиглэл тэр удирдлагын замын талаар юу ч хэлэхгүй. Зөвхөн жинхэнэ эх үүсвэр, тэмдэг л ашигтай хариулт өгнө.

Амжилттай анхны холболт ч бас бага зүйлийг нотолно. Алдаа нь ихэвчлэн маршрутын суулгалт хариултыг өөрчилсний дараа илэрдэг. Эхлэл амжилттай болж, дараа нь эхний шинэчлэлт болохгүй.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ханийн хайлт XFRM интерфэйсэд орвол гадаад пакетууд тэдний өөрсдийн бүтээж буй туннель рүү маршрутлагдана. Энэ бол нэг командад харагдах гогцоо.

Орчин үеийн гарц дээрх хасах сонголтууд

strongSwan-ы маршрутад суурилсан VPN-ийн баримт бичиг хоёр практик хариулт санал болгодог. Нэг нь IKE болон ESP-д тэмдэг тавьж, XFRM хүснэгт рүү заасан дүрэм тэдэнд тохирохгүй болгоно. Нөгөө нь хайлт хүрч чадах ханийн маршрут эсвэл хасалтыг үлдээнэ.

Дүрмийн багц чинь гаж нөлөөгүйгээр илэрхийлж чадахыг сонго. Стекийн бусад хэсэг тэмдэг аль хэдийн ашиглаж байгаа бол тэмдэг цэвэр. Ижил маск өөр дүрэмд өөр утгатай бол аюултай. Хоёр төрлийн пакет хоёулаа ямар ч байсан энэ боловсруулалт хэрэгтэй.

Зөвхөн IKE-д тэмдэг тавих нь өгөгдлийн пакетуудыг барьсан зам дээр үлдээнэ. Энэ нь гар бариад дараа нь юу ч зөөхгүй туннель үүсгэдэг.

Тэмдэг нь пакетийн fwmark дотор гарц дээр өөр хэн ч шаарддаггүй нэг бит: 0x1, 0x1 масктай нь ердийн сонголт бөгөөд хасалт ажиллахын тулд хоёр газарт тавих ёстой. Charon түүнийг IKE сокет дээр хэрэгтэй, харин хүү холболтын оролтын болон гаралтын тэмдгийн тохиргоонд мөн адил утга хэрэгтэй, инкапсуллагдсан пакетууд ч тэмдэгтэй гарч байхын тулд. 0xffffffff-ийн оронд 0x1 маск нь үлдсэн битүүдийг чөлөөтэй үлдээдэг, энэ нь нэг хост дээр өөр дэд систем пакетуудыг тэмдэглэж байгаа үед чухал. Хоёулаа тавигдвал дүрэм хасалт хэлбэрээр бичигдэж, тэмдэгтэй пакетууд XFRM маршрут агуулсан хүснэгтийг алгасаж үндсэн хүснэгтэд унана:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Дараа нь тэмдгийг хэрэглэсэн хариултыг унш. Үүнгүйгээр та хамгаалагдсан хөдөлгөөн явах замыг шалгаж байгаа бөгөөд энэ нь энэ хэсгийн асуултын эсрэг юм.

Автомат суулгалт бүтээцийн талаар юу гэж үздэг

XFRM интерфэйсийн автомат маршрут суулгалт strongSwan хувилбар болон түүний тохиргооноос хамаарна. Интерфэйсийн ID, суулгасан бодлого болон ассоциаци бүгд зориулсан объектуудыг заах ёстой. Зөрүү нь хаа нэг жинхэнэ газар руу чимээгүй заасан маршрут хэлбэрээр илэрдэг.

Хүснэгтийн дугаар эсвэл тэмдгийн маскийг өөр гарцаас хуулах нь мөргөлдөөн эхлэх зам. Эхлээд түүнийг юу аль хэдийн ашиглаж байгааг шалга. Мөргөлдөөн нь өөрчлөхийг хүссэн туннелээс хамаагүй хол хөдөлгөөнд нөлөөлдөг, шинж тэмдэг нь хуулбар руу ховор заадаг.

Ханийн хаягийн өөрчлөлт дизайнд багтана. Өчигдрийн хаяг руу чиглэсэн хост маршрут нь төгсгөлийн цэгийг сэргээх төлөвлөгөө биш, харин тэмдэг тэр өөрчлөлтийг даван туулна.

Эхний шинэчлэлтийг ажигла

Хамгаалагдсан маршрутууд суулгагдсаны дараа гадаад замыг шалга, өмнө нь биш. Дараа нь дараагийн шинэчлэлт болон нэг програмын солилцоог ажигла. Алдаа нь ихэвчлэн тэр шилжилтэд илэрдэг, эхлэлд биш.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Хамгаалагдсан анхдагч маршрутыг түр арилгах нь ихэвчлэн холболтыг сэргээдэг. Тэр үр дүн нь оношилгооны шинжтэй, эцсийн биш.

Зорилго нь дотоод хөдөлгөөн болон түүнийг зөөж буй гадаад пакетуудын хооронд тогтвортой хуваалт юм. Сонгосон механизм болон түүний хүснэгт эсвэл тэмдгийг гарцын тэмдэглэлд бич. Үгүй бол дүрэмд хүрэх дараагийн хүн гогцоог дахин оруулна.