Pemilih trafik IPsec: apa yang diliputi dan apa yang tidak

Pemilih trafik menamakan trafik dalaman yang dilindungi oleh perjanjian IPsec, dan pasangan itu dirundingkan dan bukannya diandaikan. Dua hujung boleh mengesahkan satu sama lain dengan sempurna dan masih tidak bersetuju tentang paket mana yang tergolong di dalam terowong. Perselisihan itu tidak kelihatan dalam status sambungan, yang biasanya melaporkan terowong yang sihat. Membaca pemilih dari kedua-dua hujung dan kemudian mengikuti satu destinasi menemuinya lebih pantas daripada sebarang penyuntingan dasar.

Bacanya dari kedua-dua hujung

Setiap hujung menerangkan sisinya sendiri sebagai setempat dan sisi lain sebagai jauh. Pasangan awalan yang sama kerana itu kelihatan tertukar dalam kedua-dua konfigurasi, dan itu betul, bukan bercanggah. Membalikkan perspektif ialah perkara pertama yang perlu dilakukan apabila perjanjian yang berfungsi kelihatan salah di atas kertas. Membandingkan dua fail bersebelahan tanpa menukarnya menghasilkan ketidakpadanan yang tidak wujud.

Nilainya bukan selalu subrangkaian tunggal. Pemilih IKEv2 boleh membawa julat alamat, nombor protokol dan julat port, dan begitulah dasar melindungi satu perkhidmatan dan bukannya seluruh rangkaian. Pemilih yang lebih sempit daripada trafik yang dimaksudkan menghasilkan terowong yang membawa sesetengah destinasi dan mendiamkan yang lain.

Tuliskan kedua-dua pihak ke dalam satu jadual sebelum mengubah apa-apa. Latihan itu biasanya menyelesaikan persoalan tanpa menyentuh fail konfigurasi.

Penyempitan ialah keputusan responder

Inisiator mencadangkan, dan responder hanya boleh menerima subset. IKEv2 membenarkan responder menyempitkan pemilih trafik yang ditawarkan, dan hasil yang sempit itulah yang benar-benar dipasang. Membaca konfigurasi inisiator kerana itu menerangkan tawaran, bukan perjanjian.

Itulah sebabnya subrangkaian yang ditambah pada klien boleh menghasilkan terowong yang berfungsi tetapi masih menolak destinasi baharu. Pelayan menyempitkan tawaran kepada apa yang dibenarkan oleh dasarnya, sementara fail klien masih menyenaraikan julat yang lebih luas. Hanya keadaan yang dirundingkan menunjukkan kebenaran: di Linux, ip xfrm policy dan senarai child SA dalam dokumentasi IKEv2 strongSwan melaporkan apa yang dipasang dan bukan apa yang diminta. Apabila kedua-duanya berbeza, dasar responder itulah yang perlu diubah.

Tawaran yang ditolak ialah gejala yang berbeza daripada yang disempitkan. Penolakan muncul dalam log rundingan dan tidak meninggalkan sebarang persatuan child.

Ikuti satu destinasi dari hujung ke hujung

Pilih destinasi sebenar serta alamat sumber yang akan digunakan oleh klien untuknya, kemudian ikuti pasangan itu melalui tiga keputusan bebas. Laluan memilih jalan, pemilih memutuskan sama ada jalan itu dilindungi, dan tembok api memutuskan sama ada paket itu dibenarkan. Setiap satu boleh gagal sendiri, dan pemilih yang luas tidak membaiki mana-mana yang lain.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Pertanyaan laluan menamakan antara muka dan alamat sumber yang akan membawa paket. Senarai dasar menunjukkan sama ada dasar terowong yang sepadan wujud untuk pasangan itu, termasuk arah dan tahapnya. Senarai SA menunjukkan pemilih child yang dirundingkan bersama pembilang, jadi persatuan child tanpa paket selepas trafik dicuba ialah tandatangan pemilih yang mengecualikan apa yang dihantar. Tiga arahan, tiga jawapan berbeza, dan hanya satu daripadanya menerangkan kejatuhan senyap.

Jika pembilang child bergerak sementara aplikasi masih gagal, masalahnya terletak di sebalik terowong. Itu memindahkan siasatan kepada pendengar atau tembok api hos jauh dan bukan kepada pemilih.

Asingkan kedua-dua matlamat

Melindungi subrangkaian pejabat dan menghantar semua pelayaran melalui jalan keluar jauh ialah keperluan berbeza dengan pemilih berbeza. Profil yang dibina untuk satu jarang sesuai untuk yang lain, dan mencampurkannya menghasilkan sama ada kebocoran atau pemisahan yang rosak. Meluaskan julat terlindung bermakna menukar kedua-dua hujung dan dasar penghantarannya, kerana perubahan sebelah pihak menjadi tawaran yang ditolak. Itulah cara paling biasa sebuah terowong yang berfungsi berhenti berfungsi selepas suntingan kecil.

Pemilih menerangkan liputan kriptografi, laluan memilih jalan, dan aplikasi menguatkuasakan kebenaran mereka sendiri. Terowong yang meliputi segala-galanya masih tidak dapat mencapai perkhidmatan yang terikat pada loopback, dan laluan ke dalam terowong masih memerlukan pemilih yang merangkumi destinasi. Periksa ketiga-tiganya terhadap permintaan ujian yang sama, dan ketidakpadanan akan menamakan dirinya sendiri.