Seletturi tat-traffiku IPsec: x’ikopru u x’ma jkoprux

Is-seletturi tat-traffiku jsemmu t-traffiku intern li jipproteġi ftehim IPsec, u l-par huwa nnegozjat minflok ma jiġi preżunt. Żewġ truf jistgħu jawtentikaw lil xulxin b’mod perfett u xorta ma jaqblux dwar liema pakketti jappartjenu ġewwa l-mina. Dan in-nuqqas ta’ qbil huwa inviżibbli fl-istat tal-konnessjoni, li normalment jirrapporta mina f’saħħitha. Li taqra s-seletturi miż-żewġt itruf u mbagħad issegwi destinazzjoni waħda jsibha aktar malajr minn kwalunkwe ammont ta’ editjar tal-politika.

Aqrahom miż-żewġt itruf

Kull tarf jiddeskrivi naħtu bħala lokali u n-naħa l-oħra bħala remota. Għalhekk l-istess par prefissi jidher maqlub fiż-żewġ konfigurazzjonijiet, u dan huwa korrett u mhux kontradittorju. It-treġġigħ lura tal-perspettiva huwa l-ewwel ħaġa li trid issir meta ftehim li jaħdem jidher ħażin fuq il-karta. Li tqabbel żewġ fajls spalla ma’ spalla mingħajr ma taqlibhom jipproduċi nuqqas ta’ qbil li ma jeżistix.

Il-valuri mhumiex dejjem subnet waħda. Is-seletturi IKEv2 jistgħu jġorru firxiet ta’ indirizzi, numri tal-protokoll u firxiet tal-port, u hekk politika tipproteġi servizz wieħed minflok netwerk sħiħ. Selettur eqreb mill-traffiku maħsub jipproduċi mina li ġġorr ċerti destinazzjonijiet u teskludi oħrajn bil-kwiet.

Ikteb iż-żewġ naħat fi tabella waħda qabel ma tbiddel xejn. Dan l-eżerċizzju normalment isolvi l-mistoqsija mingħajr ma jmiss fajl ta’ konfigurazzjoni.

It-tidjiq huwa d-deċiżjoni tar-risponditur

Inizjatur jipproponi, u r-risponditur jista’ jaċċetta biss sottoinsieme. IKEv2 jippermetti lir-risponditur li jdajjaq is-seletturi tat-traffiku offruti, u r-riżultat imdajjaq huwa dak li jiġi installat fil-fatt. Għalhekk li taqra l-konfigurazzjoni tal-inizjatur tiddeskrivi offerta, mhux il-ftehim.

Għalhekk subnet miżjuda mal-klijent tista’ tipproduċi mina li taħdem u li xorta tirrifjuta d-destinazzjoni l-ġdida. Is-server daijaq l-offerta sa dak li tippermetti l-politika tiegħu, filwaqt li l-fajl tal-klijent għadu jelenka l-firxa usa’. Biss l-istat innegozjat juri l-verità: fuq Linux, ip xfrm policy u l-lista child SA fid-dokumentazzjoni IKEv2 ta’ strongSwan jirrapportaw dak li ġie installat u mhux dak li ntalab. Meta t-tnejn ma jaqblux, il-politika tar-risponditur hija dik li trid tinbidel.

Proposta miċħuda hija sintomu differenti minn waħda mdajqa. Iċ-ċaħda tidher fil-log tan-negozjati u ma tħalli l-ebda assoċjazzjoni child.

Segwi destinazzjoni waħda mill-bidu sat-tmiem

Agħżel destinazzjoni reali flimkien mal-indirizz tas-sors li l-klijent juża għaliha, imbagħad segwi dak il-par fi tliet deċiżjonijiet indipendenti. Ir-rotta tagħżel triq, is-selettur jiddeċiedi jekk dik it-triq hijiex protetta, u l-firewall jiddeċiedi jekk il-pakkett huwiex permess. Kull wieħed jista’ jonqos waħdu, u selettur wiesa’ ma jsewwi l-ebda wieħed mill-oħrajn.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

It-talba tar-rotta ssemmi l-interface u l-indirizz tas-sors li jġorru l-pakkett. Il-lista tal-politiki turi jekk teżistix politika tal-mina li taqbel għal dak il-par, inkluż id-direzzjoni u l-livell tagħha. Il-lista SA turi s-seletturi child innegozjati flimkien mal-kontaturi, allura assoċjazzjoni child b’żero pakketti wara li ntrebaħ it-traffiku hija l-firma ta’ seletturi li jeskludu dak li jintbagħat. Tliet kmandi, tliet tweġibiet differenti, u waħda biss minnhom tispjega waqa’ sieket.

Jekk il-kontaturi child jiċċaqalqu waqt li l-applikazzjoni għadha tonqos, il-problema tinsab lil hinn mill-mina. Dan iċaqlaq l-investigazzjoni lejn is-semmiegħ jew il-firewall tal-host imbiegħed u mhux lejn is-seletturi.

Żomm iż-żewġ għanijiet separati

Li tipproteġi subnet tal-uffiċċju u li tibgħat l-ibbrawżjar kollu permezz ta’ ħruġ remot huma rekwiżiti differenti b’seletturi differenti. Profil mibni għal wieħed rari jaqbel għall-ieħor, u t-taħlit tagħhom jipproduċi jew tnixxija jew qsim miksur. Li twessa’ l-firxa protetta jfisser li tbiddel iż-żewġ truf u l-politika tal-ġbir tagħhom, għax bidla f’naħa waħda ssir proposta miċħuda. Din hija l-iktar triq komuni li biha mina li taħdem tieqaf taħdem wara editjar żgħir.

Is-seletturi jiddeskrivu l-kopertura kriptografika, ir-rotot jagħżlu triqat, u l-applikazzjonijiet jinfurzaw il-permessi tagħhom stess. Mina li tkopri kollox xorta ma tistax tilħaq servizz marbut ma’ loopback, u rotta fil-mina xorta teħtieġ selettur li jinkludi d-destinazzjoni. Iċċekkja t-tlieta kontra l-istess talba tat-test, u n-nuqqas ta’ qbil isemmi lilu nnifsu.