Dasar IPsec menelan trafik tempatan anda: cara mengenal pastinya

Pencetak di meja berhenti menjawab sebaik sahaja terowong naik, dan tiada apa dalam konfigurasi terowong menyebut pencetak. Apa yang biasanya berlaku ialah julat terlindung ditulis cukup luas untuk memasukkannya, jadi mesin kini cuba menyulitkan trafik yang sepatutnya kekal pada segmen tempatan. Membaca dasar yang dipasang menjelaskan penangkapan itu; menyempitkannya di tempat yang betul mengekalkan trafik jauh terlindung. Perjalanan daripada permintaan yang gagal kepada dasar yang sepadan mengambil beberapa minit.

Jejaki aliran sebelum menukar pemilih

Mulakan daripada permintaan yang gagal dan catat empat nilai: alamat sumber yang digunakan mesin, destinasi yang tepat, laluan yang dipilih kernel dan dasar yang sepadan dengan pasangan itu.

Keempat-empat fakta ini menentukan sama ada penangkapan itu disengajakan atau tidak sengaja. Destinasi yang jatuh di dalam pemilih jauh dilindungi mengikut reka bentuk, walaupun reka bentuk itu salah. Destinasi di luarnya yang masih ditangkap bermakna ada sesuatu lain yang sepadan, dan menukar pemilih tidak akan membantu. Kedua-dua kes lazim berlaku, dan satu arahan membezakannya.

Lakukan ini sebelum menyunting apa-apa, kerana kes yang menarik ialah subnset tempatan yang bertindih dengan julat peribadi yang dilindungi sambungan. Awalan biasa seperti 192.168.0.0/16 muncul dalam banyak rangkaian, dan pemilih yang ditulis untuk salah satunya boleh menutup milik anda secara senyap.

Tiga jenis tempatan yang berkelakuan berbeza

Destinasi yang diberikan kepada hos ini, destinasi pada pautan yang sama dan destinasi di belakang antara muka lain ialah tiga kes berbeza. Kernel mengendalikan setiap satu secara berbeza apabila memutuskan sama ada trafik memerlukan perlindungan.

Trafik yang dijana oleh get laluan itu sendiri juga tidak sama dengan trafik yang diteruskan daripada klien. Dasar yang kelihatan betul untuk trafik yang diteruskan boleh menangkap sesi pengurusan get laluan itu sendiri, dan begitulah pentadbir kehilangan akses semasa membaiki terowong.

Kebiasaan yang berguna ialah menamakan kes itu dengan kuat: adakah paket ini datang daripada saya, menuju pautan saya atau melalui saya? Setiap jawapan menunjuk ke tempat berbeza untuk disempitkan. Menulis kes itu juga menghalang orang seterusnya daripada mengulangi kerja yang sama.

Apabila julat terlindung ialah seluruh ruang peribadi, ketiga-tiga kes boleh jatuh ke dalamnya serentak, dan gejalanya menjadi mesin yang tidak mencapai apa-apa kecuali titik akhir terowong.

Baca dasar yang dipasang, bukan failnya

Fail konfigurasi menerangkan niat; kernel menyimpan dasar yang benar-benar sepadan. Tunjukkan kedua-duanya dan anggap ketidakpadanan sebagai penemuan pertama.

Arahan ini menunjukkan laluan yang dipilih untuk destinasi dan dasar yang dipasang dalam setiap arah:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Laluan memberitahu anda antara muka mana yang akan digunakan paket. Senarai dasar memberitahu anda sama ada templat kemudian digunakan pada paket itu, dan senarai sambungan menunjukkan pemilih mana yang dianggap telah dipasang oleh daemon. Jika destinasi muncul dalam pemilih jauh, anda telah menemui penangkapan itu tanpa meneka.

Sempitkan pemilih atau elakkan destinasi

Terdapat dua pembaikan yang disokong dan kedua-duanya menjawab soalan berbeza. Menyempitkan pemilih bermaksud sambungan ini hanya melindungi julat yang lebih kecil, yang betul apabila julat yang lebih luas itu satu kesilapan. Menambah pengelakan bermaksud destinasi khusus ini tidak boleh sekali-kali dilindungi, yang betul apabila julat terlindung memang luas dan satu destinasi ialah pengecualian.

Pilih yang pertama apabila anda boleh, kerana pemilih yang lebih kecil lebih mudah difikirkan dan kelihatan dalam definisi sambungan. Pilih yang kedua apabila julat luas itu disengajakan dan pengecualiannya ialah satu hos atau subnset yang boleh anda namakan.

Kedua-duanya tergolong dalam konfigurasi yang memiliki sambungan. Peraturan masa jalan yang ditambah dengan tangan hilang pada penyambungan semula seterusnya, dan kegagalan kembali pada saat tiada siapa mengingati jalan pintas itu.

Pengecualian yang selamat daripada pemasangan semula

Selepas perubahan, ulangi permintaan tidak berbahaya yang sama dan lihat pembilang yang sama. Destinasi tempatan sepatutnya menjawab, dan destinasi jauh yang dimaksudkan sepatutnya masih menunjukkan trafik tersulit.

Kedua-dua pemeriksaan ini mengesahkan pengecualian bertahan dan perlindungannya tidak:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Kemudian putuskan dan sambungkan semula terowong dengan sengaja, dan ulangi kedua-duanya. Pengecualian yang berfungsi sebelum penyambungan semula dan gagal selepasnya telah digunakan pada lapisan yang salah, dan itulah cara paling biasa masalah ini kembali.