Il-politika tal-IPsec qed tibla’ t-traffiku lokali tiegħek: kif tagħrafha

Il-printer fuq l-iskrivanija tieqaf twieġeb fil-mument li jitla’ t-tunnel, u xejn fil-konfigurazzjoni tat-tunnel ma jsemmi l-printer. Dak li ġeneralment ikun ġara hu li firxa protetta nkitbet wiesgħa biżżejjed biex tinkludiha, u għalhekk il-magna issa tipprova tikkripta traffiku li kellu jibqa’ fuq is-segment lokali. Il-qari tal-politika installata jispjega l-qbid; id-dejqien tagħha fil-post it-tajjeb iżomm it-traffiku remot protett. Il-mixja mit-talba li tfalli sal-politika li taqbel tieħu ftit minuti.

Segwi l-fluss qabel ma tbiddel selector

Ibda mit-talba li tfalli u ikteb erba’ valuri: l-indirizz tas-sors li tuża l-magna, id-destinazzjoni eżatta, ir-rotta li jagħżel il-kernel u l-politika li taqbel ma’ dik il-par.

Dawn l-erba’ fatti jiddeċiedu jekk il-qbid huwiex intenzjonat jew każwali. Destinazzjoni li taqa’ fis-selector remot hija protetta bid-disinn, anke jekk id-disinn kien ħażin. Destinazzjoni barra minnu li xorta tinqabad tfisser li qed taqbel xi ħaġa oħra, u l-bdil tas-selector ma jgħinx. Iż-żewġ każijiet huma komuni, u kmand wieħed jiddistingwihom.

Agħmel dan qabel ma teditja xejn, għax il-każ interessanti hu s-subnet lokali li jissovrapponi ma’ firxa privata li l-konnessjoni tipproteġi. Prefissi familjari bħal 192.168.0.0/16 jidhru f’ħafna netwerks, u selector miktub għal wieħed minnhom jista’ jkopri tiegħek bil-kwiet.

Tliet tipi ta’ lokali li jġibu ruħhom b’mod differenti

Destinazzjoni assenjata lil dan il-host, destinazzjoni fuq l-istess link u destinazzjoni wara interface oħra huma tliet każijiet differenti. Il-kernel jittratta kull wieħed b’mod differenti meta jiddeċiedi jekk it-traffiku jeħtieġx protezzjoni.

It-traffiku ġġenerat mill-gateway innifsu lanqas mhu l-istess bħat-traffiku mgħoddi minn klijent. Politika li tidher korretta għat-traffiku mgħoddi tista’ taqbad is-sessjoni tal-amministrazzjoni tal-gateway stess, u hekk amministratur jitlef l-aċċess waqt li jsewwi t-tunnel.

Il-vizzju utli hu li ssemmi l-każ b’leħen għoli: dan il-pakkett ġej minni, sejjer lejn il-link tiegħi jew għaddej minni? Kull tweġiba tindika post differenti fejn tista’ dejjaq. Li tikteb il-każ iżomm ukoll lill-persuna li jmiss milli tagħmel l-istess xogħol mill-ġdid.

Meta l-firxa protetta tkun spazju privat kollu, it-tliet każijiet jistgħu jaqgħu fiha fl-istess ħin, u s-sintomu jsir magna li ma tilħaq xejn ħlief it-tarf tat-tunnel.

Aqra l-politika installata, mhux il-fajl

Il-fajls tal-konfigurazzjoni jiddeskrivu l-intenzjoni; il-kernel iżomm il-politiki li tabilħaqq jaqblu. Uri t-tnejn u ttratta nuqqas ta’ qbil bħala l-ewwel sejba.

Dawn il-kmandi juru r-rotta magħżula għad-destinazzjoni u l-politiki installati f’kull direzzjoni:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Ir-rotta tgħidlek liema interface kien juża l-pakkett. Il-lista tal-politiki tgħidlek jekk imbagħad jiġix applikat mudell għal dak il-pakkett, u l-lista tal-konnessjonijiet turi liema selectors id-daemon jaħseb li installa. Jekk id-destinazzjoni tidher fi selector remot, sibt il-qbid mingħajr ma raden.

Dejjaq is-selector jew evita d-destinazzjoni

Minn hemm żewġ tiswijiet appoġġjati u jwieġbu mistoqsijiet differenti. Id-dejqien tas-selector jgħid li din il-konnessjoni tipproteġi biss firxa iżgħar, li hu korrett meta l-firxa usa’ kienet żball. Iż-żieda ta’ evażjoni tgħid li din id-destinazzjoni speċifika qatt m’għandha tiġi protetta, li hu korrett meta l-firxa protetta tkun tassew wiesgħa u destinazzjoni waħda tkun l-eċċezzjoni.

Agħżel l-ewwel waħda meta tista’, għax selector iżgħar huwa eħfef biex tirraġuna dwaru u jidher fid-definizzjoni tal-konnessjoni. Agħżel it-tieni waħda meta l-firxa wiesgħa tkun intenzjonata u l-eċċezzjoni tkun host jew subnet wieħed li tista’ ssemmi.

Immanifestaw flimkien mal-konfigurazzjoni li għandha l-konnessjoni. Regola tal-ħin tal-eżekuzzjoni miżjuda bl-idejn tisparixxi fir-rikonnessjoni li jmiss, u l-falliment jerġa’ lura f’mument li fih ħadd ma jiftakar is-soluzzjoni temporanja.

Eċċezzjonijiet li jibqgħu wara installazzjoni mill-ġdid

Wara l-bidla, irrepeti l-istess talba bla ħsara u ħares lejn l-istess kontaturi. Id-destinazzjoni lokali għandha twieġeb, u d-destinazzjoni remota maħsuba għandha xorta turi traffiku kriptat.

Dawn iż-żewġ verifiki jikkonfermaw li l-eċċezzjoni baqgħet u l-protezzjoni ma baqgħetx:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Imbagħad skonnettja u erġa’ kkonnettja t-tunnel apposta, u erga’ agħmel it-tnejn. Eċċezzjoni li taħdem qabel ir-rikonnessjoni u tfalli wara ġiet applikata fil-livell ħażin, u dan huwa l-aktar mod komuni li bih din il-problema terġa’ lura.