Laluan lalai XFRM menelan IKE dan ESP: kekalkan laluan luar

Trafik dilindungi, terowong berjalan, dan kemudian ia mati pada pembaharuan kunci seterusnya. Laluan lalai melalui antara muka XFRM menerangkan trafik yang anda mahu lindungi. Ia juga menelan paket yang diperlukan untuk terus melindunginya.

Dua destinasi yang terlibat tidak boleh ditukar ganti. Penghalaan mesti menyatakannya secara jelas.

Ke mana carian rakan setara sebenarnya pergi

Rekod peraturan aktif, jadual yang menyimpan laluan XFRM dan alamat awam rakan setara. Kemudian lihat laluan yang akan diambil oleh sambungan luar dengan sumber dan tandanya yang sebenar. Destinasi umum tidak memberitahu apa-apa tentang laluan kawalan itu. Hanya sumber dan tanda sebenar memberikan jawapan yang berguna.

Sambungan awal yang berjaya juga membuktikan sedikit. Kegagalan sering muncul selepas pemasangan laluan mengubah jawapannya. Permulaan berjaya, kemudian pembaharuan pertama tidak.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Jika carian untuk rakan setara berakhir di antara muka XFRM, paket luar dihalakan ke terowong yang mereka bina sendiri. Itulah gelung, kelihatan dalam satu arahan.

Pilihan pengecualian pada get laluan moden

Dokumentasi strongSwan tentang VPN berasaskan laluan mengemukakan dua jawapan praktikal. Satu menandakan IKE dan ESP supaya peraturan ke jadual XFRM tidak sepadan dengannya. Yang lain meninggalkan laluan rakan setara atau pengecualian yang masih boleh dicapai oleh carian.

Ambil yang boleh dinyatakan oleh set peraturan anda tanpa kesan sampingan. Tanda itu bersih apabila seluruh timbunan sudah menggunakan tanda. Ia berbahaya apabila topeng yang sama bermaksud sesuatu yang lain dalam peraturan lain. Kedua-dua jenis paket tetap memerlukan rawatan itu.

Menandakan IKE sahaja membiarkan paket data pada laluan yang ditangkap. Itu menghasilkan terowong yang membuat jabat tangan dan kemudian tidak membawa apa-apa.

Tanda itu ialah satu bit dalam fwmark paket yang tiada apa-apa lagi pada get laluan menuntutnya: 0x1 dengan topeng 0x1 ialah pilihan biasa, dan ia mesti ditetapkan di dua tempat supaya pengecualian berfungsi. Charon memerlukannya pada soket IKE, dan tetapan tanda masuk dan keluar sambungan anak memerlukan nilai yang sama supaya paket berkapsul juga keluar bertanda. Topeng 0x1 dan bukan 0xffffffff membiarkan bit yang tinggal bebas, yang penting apabila subsistem lain sudah menandakan paket pada hos yang sama. Apabila kedua-duanya ditetapkan, peraturan ditulis sebagai pengecualian, jadi paket bertanda melangkau jadual yang menyimpan laluan XFRM dan jatuh ke jadual utama:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Kemudian baca jawapan dengan tanda digunakan. Tanpanya anda memeriksa laluan yang diambil oleh trafik terlindung, iaitu kebalikan daripada soalan bahagian ini.

Apa yang diandaikan oleh pemasangan automatik tentang binaan

Pemasangan laluan automatik untuk antara muka XFRM bergantung pada versi strongSwan dan konfigurasinya. ID antara muka, dasar yang dipasang dan persatuan semuanya mesti merujuk kepada objek yang dimaksudkan. Ketidakpadanan muncul sebagai laluan yang senyap menunjuk ke tempat yang nyata.

Menyalin nombor jadual atau topeng tanda daripada get laluan lain ialah cara perlanggaran bermula. Semak dahulu apa yang sudah menggunakannya. Perlanggaran menjejaskan trafik jauh melebihi terowong yang anda mahu ubah, dan gejala jarang menunjuk kepada salinan itu.

Perubahan alamat rakan setara adalah sebahagian daripada reka bentuk. Laluan hos untuk alamat semalam bukan pelan pemulihan titik akhir, manakala tanda bertahan melalui perubahan itu.

Perhatikan pembaharuan pertama

Periksa laluan luar selepas laluan terlindung dipasang, bukan sebelum itu. Kemudian perhatikan pembaharuan seterusnya dan satu pertukaran aplikasi. Kegagalan biasanya muncul pada peralihan itu dan bukan semasa permulaan.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Mengalihkan laluan lalai terlindung buat sementara biasanya memulihkan sambungan. Hasil itu bersifat diagnostik, bukan muktamad.

Matlamatnya ialah pemisahan yang stabil antara trafik dalaman dan paket luar yang membawanya. Tulis mekanisme yang dipilih dan jadual atau tandanya dalam nota get laluan. Jika tidak, orang seterusnya yang menyentuh peraturan akan memasukkan semula gelung itu.