IPsec b'ħafna subnets jitlef it-traffiku tar-ritorn? Għodd ir-reqids

It-traffiku jitlaq minn sit u qatt ma jerġa' lura, iż-żewġ gateways jirrappurtaw negozjati mkomplija, u l-unika ħjiel huwa munzell ta' pakketti ħerġin mingħajr tweġibiet. Fuq Linux endpoint, il-kawża tas-soltu mhix is-saħħa tal-kriptaġġ, l-MTU jew tabella tar-routing. Hija l-granularità tad-dħul tal-politika u n-numru li jgħaqqad kull politika ma' assoċjazzjoni tas-sigurtà. Il-proċedura hawn taħt taqra dawn iż-żewġ bażijiet qabel ma tmiss xi ħaġa oħra.

Aqsam is-sintomu qabel ma tibdel xejn

Ħsara f'direzzjoni waħda b'negozjati IKE mkomplija tnaqqas il-problema għall-perkors tad-data. Jew il-politika ħierġa qabblet u t-tweġiba ntremet, jew it-tweġiba qatt ma waslet għax in-naħa l-oħra ma kellhiex biċċa x'biħha tibgħatha. Minn applikazzjoni ż-żewġ każijiet jidhru l-istess, u l-bażijiet xfrm jiddistingwuhom.

Tibdax bl-MTU. MTU żbaljat jipproduċi waqfiet u sintomi ta' frammentazzjoni, mhux qsim nadif tad-direzzjoni b'counters ħerġin li jiżdiedu.

Aqra l-bażi tal-politika u l-bażi tal-istati

Fuq Linux il-kriptaġġ jiġi deċiż mid-dħul tal-politika, għalhekk politika li taqbel, mhux rotta, hija dik li ddaħħal pakkett fit-tunnel. Mexxi ip xfrm policy biex tara s-seletturi, id-direzzjoni, il-prijorità u l-mudell ta' kull dħul, u ip xfrm state biex tara l-assoċjazzjonijiet stabbiliti bir-reqids tagħhom. Il-politika u l-assoċjazzjoni huma magħquda b'dak ir-reqid.

Ħares lejn it-tliet direzzjonijiet kollha. Ħierġa u dieħla jkopru traffiku lejn u minn dan il-host; id-direzzjoni tal-forward timporta meta l-host jagħmel routing għal oħrajn. Dħul nieqes jew li ma jaqbilx f'direzzjoni waħda jispjega riżultat f'direzzjoni waħda mingħajr ebda tort kriptografiku.

L-asimetrija klassika: reqid wieħed għal diversi subnets

Ħsara komuni ġejja minn peer li jinstalla politiki għas-subnets kollha nnegozjati taħt reqid wieħed, li jiġri bir-generate_policy require ta' racoon. It-traffiku mbagħad joħroġ mill-assoċjazzjoni stabbilita l-aħħar, filwaqt li n-naħa l-oħra żżomm assoċjazzjoni separata għal kull subnet. It-tweġibiet jaslu fuq assoċjazzjoni li r-reqid tagħha ma jidentifikax il-politika li kellha taċċettahom, u l-kernel jarmihom wara d-dekriptaġġ.

Ir-ripar huwa bidla fil-konfigurazzjoni, mhux regola tal-firewall: generate_policy unique; tagħti lil kull politika r-reqid tagħha, sabiex l-assoċjazzjonijiet tal-peer għal kull politika jkollhom sħab li jaqblu. Applikaha, erġa' nnegozja, u għodd ir-reqids distinti għas-subnets li tistenna qabel ma tiddikjara s-suċċess.

Jekk żewġ subnets għadhom jaqsmu reqid waqt li n-naħa l-oħra tistenna tnejn, sibt l-asimetrija. Irreġistra l-mappings, għax hija l-prova li l-bidla li jmiss sewwietha jew żammitha.

Is-seletturi ġejjin min-negozjati, mhux mill-konfigurazzjoni tiegħek

Il-firxiet protetti huma dak li qablu fuqu ż-żewġt iħna, mhux dak li talab naħa waħda. Klijent li joffri par hosts kontra firxa remota wiesgħa jirċievi l-verżjoni dejqa tal-gateway, u l-klijent ma jistax iwessagħha. Aqra s-seletturi installati minflok dawk fil-fajl lokali tiegħek.

Meta l-għan huwa l-oppost, li żżomm destinazzjoni waħda barra mit-tunnel, żid politika ta' bypass b'numru ta' prijorità aktar baxx sabiex tegħleb id-dħul installat awtomatikament. Politika mingħajr mudell tippermetti test sempliċi, li tagħmilha eċċezzjoni deliberata għal reġistru tal-bidliet minflok pass ta' debug.

Ivverifika b'dan l-ordni, u kun af kif tirriversja

Elenka l-politiki għal kull subnet fiż-żewġ direzzjonijiet, inkluż il-forward jekk il-host jagħmel routing. Għodd ir-reqids distinti u kkonferma wieħed għal kull politika fuq in-naħa li tistennieh. Qabbel is-seletturi installati ma' dawk innegozjati. Erġa' aqra l-counters għal kull assoċjazzjoni wara tiġdid tal-muftieħ, għax l-assoċjazzjoni li eżaminajt tista' tkun diġà marret. Iċċekkja r-rotot l-aħħar, għax rotta nieqsa lejn is-subnet remot tipproduċi sintomu simili f'direzzjoni waħda b'counters tal-politika nodfa.

Qabel ma tibdel il-peer, issalva l-output attwali taż-żewġ kmandi xfrm. Jekk is-setting il-ġdid ma jirrestawrax id-direzzjoni tar-ritorn, ir-restawr ta' dak l-output huwa riversjoni aktar mgħaġġla milli terġa' tibni t-tunnel mill-memorja, u jżomm il-paragun onest.