IPsec धोरण तुमचा स्थानिक रहदारी गिळत आहे: हे कसे ओळखावे

टेबलावरचा प्रिंटर ज्या क्षणी बोगदा वर येतो त्याच क्षणी उत्तर देणे थांबवतो, आणि बोगद्याच्या संरचनेत प्रिंटरचा कुठेही उल्लेख नाही। सहसा असे झाले आहे की संरक्षित श्रेणी इतकी रुंद लिहिली गेली की ती त्यालाही समाविष्ट करते, म्हणून यंत्र आता स्थानिक विभागात राहायला हवे होते अशी रहदारी कूटबद्ध करण्याचा प्रयत्न करत आहे। स्थापित धोरण वाचल्याने हे पकडणे समजते; ते योग्य ठिकाणी मर्यादित केल्यास दूरची रहदारी संरक्षित राहते। अयशस्वी विनंतीपासून जुळणाऱ्या धोरणापर्यंतचा प्रवास काही मिनिटे घेतो।

निवडक बदलण्यापूर्वी प्रवाह पाहा

अयशस्वी विनंतीपासून सुरुवात करा आणि चार मूल्ये लिहा: यंत्र वापरत असलेला स्रोत पत्ता, नेमके गंतव्य, कर्नेल निवडणारा मार्ग आणि या जोडीशी जुळणारे धोरण।

हे चार तथ्ये ठरवतात की पकडणे जाणीवपूर्वक आहे की अपघाताने। दूरच्या निवडकाच्या आत पडणारे गंतव्य रचनेनुसार संरक्षित असते, रचना चुकीची असली तरीही। त्याबाहेरचे गंतव्य तरीही पकडले जाते म्हणजे दुसरे काही जुळत आहे, आणि निवडक बदलल्याने उपयोग होणार नाही। दोन्ही प्रसंग सामान्य आहेत, आणि एकच आदेश त्यांच्यात फरक करतो।

हे काहीही संपादित करण्यापूर्वी करा, कारण मनोरंजक प्रसंग म्हणजे स्थानिक उपजाळ जे जोडणीने संरक्षित केलेल्या खाजगी श्रेणीशी अतिव्याप्त होते। 192.168.0.0/16 सारखे परिचित उपसर्ग अनेक जाळ्यांमध्ये दिसतात, आणि त्यापैकी एकासाठी लिहिलेला निवडक तुमचा शांतपणे व्यापू शकतो।

स्थानिकाचे तीन प्रकार जे वेगळे वागतात

या यजमानाला दिलेले गंतव्य, त्याच दुव्यावरचे गंतव्य आणि दुसऱ्या इंटरफेसच्या मागचे गंतव्य या तीन वेगळ्या स्थिती आहेत। कर्नेल रहदारीला संरक्षण हवे आहे की नाही हे ठरवताना प्रत्येकाकडे वेगळ्या पद्धतीने पाहतो।

गेटवेने स्वतः निर्माण केलेली रहदारीही ग्राहकाकडून पाठवलेल्या रहदारीसारखी नसते। पाठवलेल्या रहदारीसाठी बरोबर दिसणारे धोरण गेटवेचे स्वतःचे व्यवस्थापन सत्र पकडू शकते, आणि अशा प्रकारे प्रशासक बोगदा दुरुस्त करताना प्रवेश गमावतो।

उपयुक्त सवय म्हणजे स्थिती मोठ्याने नाव देणे: हा पॅकेट माझ्याकडून येतो, माझ्या दुव्याकडे जातो की माझ्यातून जातो? प्रत्येक उत्तर मर्यादित करण्याच्या वेगळ्या जागेकडे दाखवते। स्थिती लिहून ठेवल्याने पुढच्या व्यक्तीलाही तेच काम पुन्हा करण्यापासून थांबवते।

जेव्हा संरक्षित श्रेणी संपूर्ण खाजगी जागा असते, तेव्हा तीनही स्थिती एकाच वेळी त्यात येऊ शकतात, आणि लक्षण असे यंत्र बनते जे बोगद्याच्या शेवटच्या टोकाशिवाय कुठेही पोहोचत नाही।

स्थापित धोरण वाचा, फाइल नाही

संरचना फाइली हेतू सांगतात; कर्नेल खरोखर जुळणारी धोरणे ठेवतो। दोन्ही दाखवा आणि विसंगती पहिला शोध माना।

हे आदेश गंतव्यासाठी निवडलेला मार्ग आणि प्रत्येक दिशेने स्थापित धोरणे दाखवतात:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

मार्ग सांगतो की पॅकेट कोणता इंटरफेस वापरेल। धोरणांची यादी सांगते की नंतर त्या पॅकेटवर नमुना लागू होईल का, आणि जोडण्यांची यादी दाखवते की डेमन कोणते निवडक स्थापित मानतो। गंतव्य दूरच्या निवडकात दिसले, तर तुम्ही अंदाज न लावता पकडणे शोधले।

निवडक मर्यादित करा किंवा गंतव्य टाळा

दोन समर्थित दुरुस्त्या आहेत आणि त्या वेगळ्या प्रश्नांची उत्तरे देतात। निवडक मर्यादित करणे म्हणजे ही जोडणी फक्त लहान श्रेणीचे संरक्षण करते, जे रुंद श्रेणी चूक होती तेव्हा बरोबर आहे। टाळणी जोडणे म्हणजे हे विशिष्ट गंतव्य कधीही संरक्षित नसावे, जे संरक्षित श्रेणी खरोखर रुंद असते आणि एक गंतव्य अपवाद असते तेव्हा बरोबर आहे।

शक्य तेव्हा पहिले निवडा, कारण लहान निवडकाबद्दल विचार करणे सोपे आहे आणि तो जोडणीच्या व्याख्येत दिसतो। रुंद श्रेणी जाणीवपूर्वक असते आणि अपवाद नाव देता येईल असा एकच यजमान किंवा उपजाळ असतो तेव्हा दुसरे निवडा।

दोन्ही त्या संरचनेचे आहेत जिच्याकडे जोडणी आहे। हाताने जोडलेला कार्यकाळ नियम पुढच्या पुनर्जोडणीत नाहीसे होतो, आणि बिघाड त्या क्षणी परत येतो जेव्हा कोणाला तो तात्पुरता उपाय आठवत नाही।

पुनर्स्थापनेत टिकणारे अपवाद

बदलानंतर तीच निरुपद्रवी विनंती पुन्हा करा आणि तेच मोजणी दाखवणारे घटक पाहा। स्थानिक गंतव्याने उत्तर द्यायला हवे, आणि इच्छित दूरच्या गंतव्याने अजूनही कूटबद्ध रहदारी दाखवायला हवी।

या दोन तपासण्या पुष्टी करतात की अपवाद टिकला आणि संरक्षण नाही:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

मग बोगदा जाणीवपूर्वक तोडा आणि पुन्हा जोडा, आणि दोन्ही पुन्हा करा। पुनर्जोडणीपूर्वी चालणारा आणि नंतर अयशस्वी होणारा अपवाद चुकीच्या स्तरावर लागू झाला आहे, आणि ही या समस्येच्या परत येण्याची सर्वात सामान्य पद्धत आहे।