Minn strongSwan għal AWS Site-to-Site: għaliex il-Child SA ma tagħżel xejn

Tunnel IKE jista’ jkun attiv filwaqt li l-assoċjazzjoni tifel teskludi s-subnets tiegħek. Qabbel l-ewwel is-CIDR lokali u remot ta’ AWS ma’ leftsubnet u rightsubnet.

Il-konsola turi up, strongSwan tirrapporta assoċjazzjoni IKE stabbilita, u l-pakketti xorta ma jaslux. Il-ħaġa li jmiss li trid tqabbel mhix il-muftieħ maqsum minn qabel, iżda l-par ta’ prefissi li kull naħa taħseb li t-tunnel jipproteġi. Għaddi mill-verifiki hawn taħt bl-ordni, għax l-ewwel tnejn jiddeċiedu jekk it-tunnel jistax iġorr it-traffiku tiegħek xejn.

Ittraduċi l-ismijiet ta’ AWS għat-termini ta’ strongSwan

AWS tiddeskrivi l-konnessjoni min-naħa tal-klijent: l-indirizz tal-gateway tal-klijent u s-CIDR lokali huma tiegħek, u s-CIDR remot huwa tal-VPC. strongSwan issejjaħ iż-żewġt itruf left u right, bil-prefiss tiegħek f’leftsubnet u l-prefiss tal-VPC f’rightsubnet. Jekk taqleb par wieħed, toħloq tunnel li jinnegozja u jagħżel it-traffiku ħażin.

Niżżel il-konfigurazzjoni li AWS tiġġenera għall-konnessjoni u qisha bħala r-referenza għal dik il-konnessjoni stess, inklużi l-indirizzi u l-prefissi tat-tunnel. Jekk tħalli ż-żewġ oqsma CIDR vojta waqt il-ħolqien, is-servizz juża l-valur default 0.0.0.0/0 fuq kull naħa. Router konfigurat b’prefiss dejjaq mbagħad qatt ma jaqbel miegħu, għalhekk jew imla l-oqsma jew wessa’ l-għażla b’mod intenzjonat.

Nuqqas ta’ qbil hawn jidher bħala falliment tar-routing u mhuwiex.

Iffissa l-indirizz li AWS tassew jara

Router wara NAT jista’ jibgħat IKE minn interface li n-naħa l-oħra qatt ma tgħallmet dwaru. L-indirizz tal-gateway imniżżel f’AWS irid ikun dak li AWS josserva fuq in-netwerk, u r-router irid jiġi ffissat fl-istess indirizz lokali minflok ma jsegwi r-rotta default tiegħu.

conn %default
    local_addrs = 203.0.113.10

F’strongSwan, local_addrs jagħżel l-indirizz tas-sors għal IKE, u l-konfigurazzjonijiet il-qodma ta’ OpenSwan jiktbu l-istess idea bħala left. Idderieġih lejn l-interface li jġorr l-indirizz pubbliku, imbagħad ivverifika fuq l-apparat NAT stess li UDP 500 u 4500 jaslu għal dak il-host, għax regola li baqgħet minn router preċedenti tarmihom bil-kwiet. Par ta’ seletturi korrett bl-indirizz tas-sors żbaljat xorta jfalli, u r-reġistru jakkuża l-proposta. Din it-tqarbin hija r-raġuni għaliex l-indirizz tas-sors jistħoqqlu verifika tiegħu stess.

Ikkonferma r-regola tal-forwarding minflok ma tassumiha, għax regola li kienet korretta għar-router preċedenti spiss tibqa’.

Ittratta l-fażi 1 u l-fażi 2 separatament

AWS turi l-għażliet IKE u ESP bħala listi separati. Suite IKE li taċċetta ż-żewġ naħat ma tgħid xejn dwar il-proposta ESP, għax iż-żewġ listi huma indipendenti. Aqra t-tnejn mill-konfigurazzjoni ġġenerata u qabbilhom waħda waħda.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Is-sintassi ma tivvjaġġax bejn l-implimentazzjonijiet. Par li jaħdem f’OpenSwan, pereżempju phase2alg=aes_gcm ma’ ike=aes256-sha1;modp1024, jeħtieġ traduzzjoni għall-forma esp= u ike= ta’ strongSwan, u l-ismijiet tal-algoritmi jvarjaw. Peress li GCM tawtentika waqt li tikkripta, m’għandhiex bżonn trasformazzjoni tal-integrità separata, differenti minn suite CBC mgħaqqda ma’ SHA. Linja tal-fażi 2 imwaħħla minn daemon għal ieħor mingħajr traduzzjoni tipproduċi rifjut li jinqara bħala nuqqas ta’ qbil fis-seletturi.

Ivverifika l-assoċjazzjoni tifel, mhux l-indikatur tat-tunnel

Jekk il-konnessjoni tgħabbi imma l-ebda assoċjazzjoni tifel ma toħroġ, inkella ġew rifjutati l-proposta jew is-seletturi. Jekk tifel joħroġ u s-seletturi tiegħu jeskludu l-prefissi tiegħek, il-pakketti jiġu ffiltrati qabel ma jaslu għat-tunnel. L-indikatur tal-konsola jkopri biss il-livell IKE, għalhekk ma jistax jgħidlek liema miż-żewġ affarijiet ġara.

ipsec statusall

Fittex l-assoċjazzjoni tas-sigurtà tifel u aqra s-seletturi tat-traffiku stampati ħdejha, imbagħad qabbilhom mal-prefissi mill-konfigurazzjoni ġġenerata.

Ittestja minn host ġewwa l-prefiss lokali għal host ġewwa l-prefiss tal-VPC, u vverifika l-mogħdija lura kif ukoll kwalunkwe grupp tas-sigurtà jew ACL tan-netwerk fuq in-naħa ta’ AWS. Seletturi korretti ma jipproteġux pakkett milli jintrema aktar tard.

Meta għadu jfalli wara li s-seletturi jaqblu

Ikkonferma li r-rotta fuq iż-żewġ naħat tipponta lejn it-tunnel, imbagħad ikkonferma li l-apparat NAT mhuwiex jikteb mill-ġdid it-traffiku b’mod li l-politika ma tistenniex. Tunnel ibbażat fuq il-politika jaqbel l-indirizzi tal-pakketti, għalhekk traduzzjoni applikata wara d-deċiżjoni tal-politika tbiddel ir-riżultat.

Irreġistra pakkett wieħed dieħel u wieħed ħiereġ fuq kull naħa qabel ma tbiddel proposta oħra.

Innota is-seletturi, il-proposti tal-fażi 1 u l-fażi 2 u l-indirizz tas-sors fit-ticket. Dawk l-erba’ valuri jispjegaw il-biċċa l-kbira tal-fallimenti site-to-site mingħajr telefonata.

Artikli relatati