Mencapai klien IKEv2 pada IP maya yang diberikan

Gerbang perlu memulakan sambungan ke komputer riba yang bersambung dengannya melalui IKEv2, menggunakan alamat maya yang diberikan kepada klien itu. Terowong sudah aktif, klien boleh mencapai semua yang di belakang gerbang, tetapi arah sebaliknya masih gagal. Asimetri itu normal: dasar yang dirundingkan menerangkan alamat mana yang boleh bercakap, bukan pihak mana yang boleh memulakan. Tiga perkara mesti sejajar sebelum permintaan yang dimulakan gerbang berfungsi.

Terowong tidak membaiki alamat sumber

Satu CHILD SA meliputi sepasang pemilih trafik, satu bagi setiap pihak, dan membenarkan trafik dalam kedua-dua arah pasangan itu. Ia tidak menyatakan apa-apa tentang rakan mana yang membuka pertukaran IKE dahulu. Gerbang yang pada mulanya mendengar terowong masih boleh menghantar paket aplikasi pertama, asalkan sumber dan destinasi yang dipilih berada dalam pemilih yang dipasang. Apabila permintaan keluar dari antara muka yang salah, ia semata-mata tidak layak untuk terowong.

Penghalaan ke arah klien perlu dan tidak mencukupi. Dasar mesti menerima sumber yang benar-benar anda gunakan.

Baca dasar yang dipasang, bukan fail konfigurasi

Mulakan dengan persatuan aktif dan pemilihnya, kerana peruntukan dinamik mengubah apa yang dipasang dalam kernel.

ipsec statusall
ip xfrm policy

Keluaran status menamakan sambungan, alamat maya yang diberikan dan pemilih yang sedang berkuat kuasa untuk rakan itu. Dump dasar menunjukkan pemilih yang sama sebagai keadaan kernel, dan itulah yang sebenarnya dirujuk oleh pemilihan paket. Bandingkan pemilih di sebelah gerbang dengan sumber yang akan digunakan oleh aplikasi anda, kerana ketidakpadanan menjelaskan kegagalan itu serta-merta. Baca alamat semasa klien dan bukan alamat dari sesi sebelumnya, kerana VIP yang diperuntukkan semula menjadikan dasar lama tidak sah.

Klien mesti mendengar di tempat paket tiba

Malah dasar yang sempurna mencapai port tertutup apabila perkhidmatan hanya terikat pada loopback. Pendengar mesti berada pada alamat yang diberikan atau pada alamat tempatan kad liar.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Senarai soket menunjukkan sama ada port terikat pada alamat maya, dan peraturan tembok api menunjukkan sama ada sambungan baharu diterima daripada sumber yang dilindungi. Peraturan yang ditulis untuk sambungan yang sudah terjalin tidak menerima sambungan yang dimulakan gerbang. Kekalkan pengesahan perkhidmatan itu sendiri, kerana tiba melalui terowong hanya menetapkan dari rangkaian mana paket itu datang. Klien di belakang NAT sendiri masih tidak memerlukan pemajuan port masuk, kerana permintaan ini bergerak di dalam terowong sedia ada.

Uji arah baharu secara berasingan

Permintaan berjaya dari klien ke pelayan tidak pernah menguji laluan ini. Hasilkan permintaan dari gerbang dan perhatikan kedua-dua hujung.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Carian laluan menjawab sumber dan antara muka mana yang akan digunakan gerbang, dan itulah nilai yang mesti diterima oleh dasar. Tangkapan sepatutnya menunjukkan permintaan keluar di dalam ESP dan bukan sebagai TCP biasa pada antara muka awam. Pada klien, tangkap trafik yang dinyahsulit untuk mengesahkan ketibaan dan sama ada perkhidmatan menjawab. Jika permintaan hilang tanpa ESP pada wayar, syaki alamat sumber sebelum tembok api klien.

Ulang ujian selepas pertukaran kunci atau sambung semula, kerana VIP boleh berubah. Laluan yang hanya berfungsi sehingga sesi seterusnya bukan laluan yang berfungsi.