Nilħaq klijent IKEv2 fl-IP virtwali assenjat tiegħu

Gateway jeħtieġ jibda konnessjoni lejn laptop konness miegħu permezz ta’ IKEv2, billi juża l-indirizz virtwali assenjat lil dak il-klijent. Il-mina hija attiva, il-klijent jilħaq kollox wara l-gateway, u d-direzzjoni opposta għadha tfalli. Din l-asimetrija hija normali: il-politika nnegozjata tiddeskrivi liema indirizzi jistgħu jitkellmu, mhux liema naħa tista’ tibda. Tliet affarijiet iridu jaqblu qabel ma taħdem talba mibdija mill-gateway.

Il-mina ma tissewwix l-indirizz tas-sors

CHILD SA tkopri par ta’ seletturi tat-traffiku, wieħed għal kull naħa, u tippermetti traffiku fiż-żewġ direzzjonijiet ta’ dak il-par. Ma tgħid xejn dwar liema sieħeb fetaħ l-iskambju IKE l-ewwel. Gateway li fil-bidu kien jisma’ għall-mina xorta jista’ jibgħat l-ewwel pakkett tal-applikazzjoni, sakemm is-sors u d-destinazzjoni magħżula jaqgħu fis-seletturi installati. Meta t-talba toħroġ mill-interface ħażina, hija sempliċement mhijiex eligibbli għall-mina.

Ir-routing lejn il-klijent huwa meħtieġ u mhux suffiċjenti. Il-politika trid tammetti s-sors li tassew użajt.

Aqra l-politika installata, mhux il-fajl tal-konfigurazzjoni

Ibda mill-assoċjazzjoni attiva u s-seletturi tagħha, għax l-assenjazzjoni dinamika tibdel dak li huwa installat fil-kernel.

ipsec statusall
ip xfrm policy

L-output tal-istat isemmi l-konnessjoni, l-indirizz virtwali assenjat u s-seletturi li bħalissa huma fis-seħħ għal dak is-sieħeb. Id-dump tal-politika juri l-istess seletturi bħala stat tal-kernel, u dan huwa dak li tassew jikkonsulta l-għażla tal-pakketti. Qabbel is-selettur fuq in-naħa tal-gateway mas-sors li se juża l-applikazzjoni tiegħek, għax nuqqas ta’ qbil jispjega l-falliment minnufih. Aqra l-indirizz attwali tal-klijent u mhux wieħed minn sessjoni preċedenti, għax VIP assenjat mill-ġdid jagħmel il-politika l-antika invalida.

Il-klijent irid jisma’ fejn tasal il-pakkett

Anki politika perfetta tasal għal port magħluq meta s-servizz jingħalaq biss ma’ loopback. Is-semmiegħa trid tkun fuq l-indirizz assenjat jew fuq indirizz lokali wildcard.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Il-lista tas-sockets turi jekk il-port huwiex marbut mal-indirizz virtwali, u r-regoli tal-ħajt tan-nar juru jekk konnessjonijiet ġodda humiex aċċettati mis-sors protett. Regola miktuba għal konnessjonijiet stabbiliti ma tammettix konnessjoni li tibda l-gateway. Żomm l-awtentikazzjoni tas-servizz innifsu, għax il-wasla mill-mina tistabbilixxi biss minn liema netwerk ġie l-pakkett. Klijent wara n-NAT tiegħu stess għadu m’għandux bżonn port forwarding deħlin, għax dawn it-talbiet jivvjaġġaw ġewwa l-mina eżistenti.

Ittestja d-direzzjoni l-ġdida waħedha

Talba li taħdem mill-klijent għas-server qatt ma tittestja din it-triq. Iġġenera t-talba mill-gateway u osserva ż-żewġ trufijiet.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

It-tfittxija tar-rotta twieġeb liema sors u interface se juża l-gateway, u dan huwa l-valur li l-politika trid tammetti. Il-qabda għandha turi t-talba ħierġa ġewwa ESP u mhux bħala TCP sempliċi fuq l-interface pubbliku. Fuq il-klijent, aqbad it-traffiku dekriptat biex tikkonferma l-wasla u jekk is-servizz wieġeb. Jekk it-talba tisparixxi mingħajr ESP fuq il-wajer, issuspetta l-indirizz tas-sors qabel il-ħajt tan-nar tal-klijent.

Irrepeti t-test wara bidla ta’ ċavetta jew qagħda mill-ġdid, għax il-VIP jista’ jinbidel. Triq li taħdem biss sal-qagħda li jmiss mhijiex triq li taħdem.