It-tweġiba tal-VPN minn sit għal sit ma tgħaddix mill-mina
Tweġiba li taqbeż il-mina hija deċiżjoni ta’ routing fuq in-naħa l-bogħida. Iċċekkja t-tabella tal-hosts, is-seletturi u rp_filter, imbagħad agħżel rotta jew NAT.
Qattajt filgħodu fuq mina li telgħet nadifa u ċċaqalqet it-traffiku f’direzzjoni waħda biss: il-fergħa setgħet tilħaq is-server tal-fajls fil-kwartieri ġenerali, u kull konnessjoni miftuħa mill-kwartieri lejn il-fergħa mietet fl-ewwel SYN. Is-SA kienu attivi, il-kontaturi tal-mina kienu qed jogħlew, u l-handshake qatt ma kien il-problema. It-tweġiba kienet qed tiġi routed f’post li l-mina ma tkoprix, u dik l-għażla tappartjeni lin-naħa l-bogħida. VPN minn sit għal sit iġorr biss il-pakketti li host jgħaddi lill-gateway, u kull host jagħmel dik l-għażla b’mod separat, f’kull direzzjoni, mit-tabella tar-routing tiegħu stess.
Iż-żewġ direzzjonijiet huma routed separatament
IP ma jżommx memorja tad-direzzjoni ta’ konversazzjoni. Kull host li jibgħat pakkett jagħmel it-tfittxija tiegħu tal-itwal prefiss, jagħżel hop wieħed li jmiss u jinsa d-deċiżjoni. It-talba u t-tweġiba huma żewġ pakketti mhux konnessi li b’kumbinazzjoni jappartjenu għall-istess konnessjoni, u l-mina hija hop wieħed li wieħed minnhom jista’ juża jew le. Xejn fl-iskambju IKE ma jgħallem lis-server imbiegħed kif jasal għas-subnet tiegħek; in-negozjati biss jaqblu liema prefissi jistgħu jiġu encrypted.
Dak il-ftehim huwa t-tieni bieb. Fuq strongSwan is-seletturi tat-traffiku huma leftsubnet u rightsubnet, u pakkett li s-sors jew id-destinazzjoni tiegħu jaqa’ barra mill-par negozjat mhuwiex encrypted, x’jgħid it-tabella tar-routing. Prefiss li jiġi routed fil-mina iżda nieqes mis-seletturi huwa falliment sieket f’direzzjoni waħda: ir-rotta tidher tajba, il-pakkett xorta joħroġ fil-miftuħ jew jiġi skartat, u biss il-log ta’ charon jilmenta.
Il-host imbiegħed ma jaf xejn dwar il-mina tiegħek
Ġewwa l-LAN imbiegħed it-tweġiba hija pakkett ordinarju indirizzat lill-klijent tiegħek. Il-host tad-destinazzjoni ma jara l-ebda intestatura IPsec u m’għandu l-ebda raġuni jippreferi l-gateway tal-VPN; ifittex il-prefiss tiegħek, ma jsib xejn aktar speċifiku mir-rotta default tiegħu u jsegwiha. Jekk id-default tindika firewall ċentrali, il-firewall jew għandu rotta lura fil-mina jew ma għandux. Meta ma għandux, tikseb skart sieket, ICMP unreachable, jew tweġiba li toħroġ mill-interface lejn l-internet u tmut.
It-tieni interface biżżejjed biex ikisser dan anki meta rotta teżisti. NAS b’rabta ta’ ġestjoni fuq VLAN oħra, server b’uplink ta’ riżerva, regola ta’ politika li tibgħat firxa ta’ sorsi fit-tieni tabella: kwalunkwe minn dawn jista’ jaqbad it-tweġiba. Fuq Linux, ip rule show u ip route show table all juru regoli u tabelli li l-lista default taħbi.
Aqra d-deċiżjoni fuq il-magna li tibgħat it-tweġiba
Staqsi lill-kernel qabel ma tibdel xejn, u agħtih l-indirizz tas-sors, għax regoli li jiddependu mis-sors ibiddlu t-tweġiba.
ip route get 10.10.5.10 from 10.20.30.15
ip rule show
ip route show table all
ss -tn state established "( sport = :445 )"L-output isemmi l-interface li toħroġ u l-hop li jmiss. Jekk l-interface mhijiex dik li tħares lejn il-gateway tal-VPN, sibt id-difett, u x-xogħol li jifdal huwa li tagħżel fejn għandha tkun ir-rotta. Ping mill-gateway hawnhekk jagħmel ftit prova: iwieġeb b’indirizz li l-host imbiegħed jista’ jpoġġi, mhux bl-indirizz tal-laptop tiegħek.
Fuq Windows l-ekwivalenti huma Find-NetRoute -RemoteIPAddress 10.10.5.10 għad-deċiżjoni u Get-NetRoute għat-tabella. Rotta miżjuda b’New-NetRoute li ġġorr metrika ogħla mid-default titlef sieket, għalhekk aqra l-kolonna tal-metrika, mhux id-dħul. Imbagħad ikkonferma bil-pakketti: tcpdump -ni any "host 10.10.5.10 and tcp port 445" fuq l-interface tal-LAN imbiegħed juri t-talba, u l-istess filtru fuq in-naħa tal-mina juri jekk ġietx lura tweġiba. Talba tidher mingħajr tweġiba tfisser li t-tweġiba ġiet routed band’oħra jew skartata; tweġiba fuq l-interface ħażina tagħtik il-ħati qabel ma tmiss rotta.
Meta l-gateway tas-server mhuwiex it-tarf tal-VPN
Bosta siti jqiegħdu firewall bejn is-servers u l-konċentratur. Dak il-firewall jgħaddi t-tweġiba ’l quddiem, għalhekk għandu bżonn rotta għall-prefiss tal-klijent tiegħek lejn il-gateway tal-VPN, u politika ta’ forwarding fiż-żewġ direzzjonijiet. L-apparati bi stati jagħmluha agħar: it-talba qasmet il-firewall minn host tal-LAN li ppermetta, it-tweġiba issa tasal minn direzzjoni oħra, u d-dħul tal-connection tracking m’għadux jaqbel, għalhekk il-pakkett jiġi skartat bħala invalid minflok miċħud. Huwa għalhekk li l-log tal-politika jidher vojt waqt li t-traffiku jisparixxi.
Il-gateway għandu t-tieni filtru tiegħu stess. Il-filtrazzjoni tar-rotta inversa ta’ Linux tiskarta pakketti li s-sors tagħhom mhuwiex aċċessibbli mill-interface li waslu fuqha, u din hija eżattament il-forma ta’ rotta ta’ ritorn asimmetrika leġittima. il-gwida tal-forwarding ta’ strongSwan titlob net.ipv4.ip_forward u net.ipv4.conf.all.rp_filter imrattab għal dak ir-raġuni. Valur strett ta’ 1 fuq xi gateway ikisser rotta korretta sieket, u nstat -az juri l-iskejer jekk taf fejn tħares.
| Symptom | Where the reply is most likely lost |
|---|---|
| Gateway ping works, LAN host silent | Source address the far host cannot place in its table |
| SYN arrives, no SYN-ACK, tunnel counters flat | No route to the client prefix on the far host or its gateway |
| Reply counted on the internet-facing interface | Default route or policy rule on the far host |
| Firewall reports invalid state | Asymmetric path through a stateful device |
| Worked until a link failed over | New path is asymmetric, or rp_filter now rejects it |
Irrotta jew ittraduċi, imbagħad ivverifika fiż-żewġ direzzjonijiet
Iż-żewġ tiswijiet mhumiex ekwivalenti. Żieda ta’ rotta żżomm l-indirizz tal-klijent sħiħ, għalhekk regoli bbażati fuq is-sors, logs tal-awditjar u applikazzjonijiet li jirreġistraw min iċempel jibqgħu jaħdmu; il-prezz huwa li kull hop li jieħu d-deċiżjoni jeħtieġ ir-rotta, jiġifieri aktar postijiet fejn tiżbalja. Maskerada fuq il-gateway imbiegħed tiġbor ir-rotta ta’ ritorn f’hop wieħed, għax it-tweġiba issa hija indirizzata lill-gateway stess, u taħbi liema klijent għamel xiex.
iptables -t nat -A POSTROUTING -o eth1 -s 10.20.30.0/24 -j MASQUERADEAgħżilha b’mod deliberat: malli l-klijenti jidhru bħala l-indirizz tal-gateway, l-ACL ibbażati fuq is-sors jieqfu jiddistingwuhom, u conntrack irid iżomm il-mapping biex it-tweġiba terġa’ tinkiteb fil-mina. Jekk is-seletturi għadhom jeskludu l-prefiss tal-klijent, NAT ma jbiddel xejn, għax it-talba qatt ma daħlet fil-mina.
Qabel ma tgħid li huwa msewwi, ikkonferma erba’ affarijiet fl-ordni: ir-rotta fuq il-host li jibgħat it-tweġiba, ir-rotta fuq kull hop li jgħaddiha ’l quddiem, is-seletturi li jkopru ż-żewġ prefissi, u qabda li turi t-tweġiba dieħla fil-mina bis-sors li tistenna. Imbagħad erġa’ agħmel it-test mis-sit l-ieħor. Direzzjoni waħda li tgħaddi hija disinn nofshu miftuħ, u t-tieni direzzjoni normalment tfalli għal raġuni differenti minn dik li għadek kemm sewwa.