Mina sħiħa fi strongSwan teħtieġ 0.0.0.0/0 fuq iż-żewġ naħat

Mina sħiħa teħtieġ 0.0.0.0/0 bħala remote_ts tal-klijent u local_ts tal-gateway, flimkien ma' forwarding, NAT u rotta lura. Iċċekkja l-erbgħa.

Konnessjoni strongSwan li taħdem għal subnet privat wieħed mhijiex se ġġorr it-traffiku tal-internet sempliċement għax xi ħadd editja linja waħda. Mina sħiħa hija ftehim bejn żewġ naħat dwar liema indirizzi tipproteġi l-child SA, u kull naħa ssemmi lill-oħra fir-rigward tagħha nnifisha. Ġib naħa waħda sew u l-oħra ħażin, u l-child SA jew ma togħlax jew togħla iżjed dejqa milli kien maħsub. Il-ħames kontrolli hawn taħt isegwu dak il-ftehim mill-klijent, permezz tal-gateway, u 'l barra lejn l-internet.

L-ewwel iċċekkja s-selettur tal-klijent

Il-klijent jiddeskrivi dak li jrid jipproteġi fuq in-naħa l-bogħoda bħala remote_ts, u kollox li jibgħat joħroġ mill-indirizz tiegħu stess mogħti. Għat-traffiku tal-internet dak il-valur irid ikopri d-destinazzjonijiet li l-utent tassew jasal għalihom, li fil-prattika jfisser il-ħruġ kollu tal-IPv4. Klijent li għadu jelenka subnet wieħed qed jitlob mina maqsuma, tkun x'inhu l-isem tal-profil fl-interfaċċa. In-naħa tas-sors hija normalment dynamic għax l-indirizz jiġi assenjat fil-ħin tal-konnessjoni. Sors fiss miktub hemmhekk jinkiser malli jinbidel il-ġabra tal-indirizzi.

children {
    net {
        local_ts  = dynamic
        remote_ts = 0.0.0.0/0
    }
}

Dan il-framment mhuwiex fajl sħiħ tal-konnessjoni, u dan jassumi li l-awtentikazzjoni, l-identitajiet u l-ġabra tal-indirizzi virtwali huma diġà kkonfigurati. Is-selettur tas-sors tal-klijent u l-indirizz li jassenja s-server xorta għandhom jaqblu, inkella l-child SA togħla b'firxa li ebda naħa ma kienet tistenna. Għabbiha b'swanctl --load-all u aqra l-output qabel ma tassumi suċċess. Fajl li jiġi pparsjat xorta jista' jiġi miċħud minħabba selettur li ma jaqbilx mal-proposta tan-naħa l-oħra.

Iċċekkja s-selettur tal-gateway fuq naħtu stess

Il-gateway jaqra l-istess kunċett mid-direzzjoni opposta. Id-destinazzjonijiet tal-internet huma lokali għall-gateway, għalhekk il-local_ts tiegħu huwa dak wiesa' u l-remote_ts tiegħu jiddeskrivi l-ġabra tal-klijenti. Dan l-istess maqlub huwa l-iżball l-aktar komuni f'konfigurazzjoni ta' mina sħiħa, u jgħaddi mir-reviżjoni għax iż-żewġ linji jidhru plawżibbli waħedhom.

children {
    rw {
        local_ts  = 0.0.0.0/0
        remote_ts = 10.77.0.0/24
    }
}

L-ikkupjar tal-framment tal-klijent fil-fajl tal-gateway jipproduċi par seletturi li ma jiddeskrivi xejn utli, għax iż-żewġ naħat jitolbu l-istess rwol. Il-gwida tal-forwarding ta' strongSwan tiddokumenta b'mod espliċitu t-tqabbil tal-klijent u l-gateway, u jiswa li tinqara maġenb il-fajl tal-konnessjoni u mhux wara l-falliment. Il-fajl tal-gateway jeħtieġ ukoll id-definizzjoni tal-ġabra li tirreferi għaliha remote_ts. Selettur li jsemmi ġabra li ma teżistix jitgħabba mingħajr ilment u jonqos fil-ħin tal-konnessjoni.

Il-ipsec.conf antik juża rwoli tax-xellug u tal-lemin b'ċavetti differenti, u linja rightsubnet mhijiex sostitut dirett għall-valur ta' swanctl. Żomm iż-żewġ sintassi fi fajls separati minflok tpejjip waħda fl-oħra. Li tħallathom fi direttorju wieħed hija t-triq li biha konnessjoni li taħdem terġa' lura bil-kwiet wara riavvjar.

Iċċekkja l-child SA nnegozjata, mhux il-fajl

Konfigurazzjoni salvata tipprova l-intenzjoni u xejn aktar. In-naħa l-oħra tista' tnaqqas dak li ntalab, u child SA eżistenti ma tiġix sostitwita sempliċement għax il-fajl taħtha nbidel. Ikkonferma x'inhu tassew installat qabel ma tbiddel xi ħaġa oħra.

swanctl --list-conns
swanctl --list-sas
ip xfrm policy list

L-ewwel kmand juri x'għabba d-daemon, it-tieni juri l-child SA stabbiliti, u t-tielet juri l-politiki li se japplika l-qalba. Jekk il-fajl jgħid 0.0.0.0/0 u l-lista turi subnet wieħed, in-negozjar naqqas il-firxa u l-qari mill-ġdid tal-fajl mhu se jispjegahx. Temm il-child, erġa' ibda, u qabbel it-tliet outputs mill-ġdid. Child li terġa' lura bl-istess firxa dejqa qed titnaqqas min-naħa l-bogħoda u mhux mill-fajl lokali, u dik hija konversazzjoni mal-amministratur l-ieħor u mhux editjar lokali.

Aqra ż-żewġ direzzjonijiet fil-lista tal-politiki, għax mina li tinstalla direzzjoni waħda u mhux l-oħra hija problema ta' routing bil-libsa tal-konfigurazzjoni. Il-politiki 'l quddiem u lura għandhom isemmu l-istess par seletturi b'mod mera, u mera nieqsa hija difett fid-daemon jew fil-proposta u mhux fit-test tas-selettur.

Iċċekkja l-forwarding u r-rotta lura

Selettur jammetti t-traffiku lejn il-gateway, iżda ma jagħmilx il-gateway jirrotta dak it-traffiku 'l quddiem. Il-forwarding irid ikun attivat, il-firewall irid jippermetti l-fluss, u t-tweġiba trid issib triqha lura lejn il-ġabra tal-klijenti. Dawn huma tliet rekwiżiti separati, u kull wieħed jonqos b'sintomu differenti. Regola tal-forwarding nieqsa taġixxi bħal toqba sewda, filwaqt li rotta lura nieqsa taġixxi bħal mina f'direzzjoni waħda.

sysctl net.ipv4.ip_forward
iptables -t nat -S | grep -i masq
ip route get 1.1.1.1

L-indirizzi privati tal-klijenti normalment jeħtieġu traduzzjoni tas-sors deliberata qabel ma jistgħu jħallu interfaċċa pubblika, filwaqt li allokazzjoni rrotrata b'mod espliċitu teħtieġ trattament differenti. Jekk NAT huwa involut, żomm l-eċċezzjonijiet appoġġjati mill-implimentazzjoni sabiex traffiku li politika tas-sigurtà għandha tħares ma jiġix tradott lil hinn minnha. Regola masquerade wiesgħa kkupjata minn gateway ieħor tbiddel ħafna aktar flussi milli kien beħsieb l-awtur tagħha. Ikteb ir-regola biss għall-ġabra tal-klijenti, u ħalli kumment li jispjega għaliex teżisti.

Fuq il-klijent, ikkonferma r-rotot li installa l-backend u mhux ir-rotot li assumejt. Maniġer bl-installazzjoni tar-rotot ittradotta għandu bżonn disinn tar-routing li jinżamm bl-idejn, u dak id-disinn irid jiġi aġġornat kull darba li l-mina tinbidel. Iċċekkja t-tabella tar-routing wara qagħda mill-ġdid, mhux biss wara boot ġdid.

Iċċekkja x'għad mhijiex tkopri l-mina

Il-par seletturi jkopri IPv4 u xejn aktar. IPv6, DNS u kwalunkwe politika fil-livell tal-applikazzjoni huma deċiżjonijiet separati li selettur IPv4 wiesa' jinjora bil-kwiet. Mina li ġġorr kull pakkett IPv4 xorta tista' tnixxi kull tfittxija ta' isem.

Iddikjara b'mod espliċitu l-passaġġ DNS maħsub, għax mina sħiħa li għadha taqsam ismijiet permezz tar-resolver lokali tnixxi mistoqsijiet barra mill-mina u tkisser l-ismijiet privati. Jekk il-klijent jiġi assenjat indirizz IPv6, dik il-familja tal-indirizzi teħtieġ l-istess trattament, inkella l-host jippreferi passaġġ li l-mina ma tipproteġix. Ittestja b'isem li tista' twieġeb għalih biss in-naħa privata, u ttratta tweġiba pubblika bħala tnixxija.

resolvectl query intranet.example.internal
traceroute -n 1.1.1.1

Ikkonferma l-katina b'dawk iż-żewġ kmandi flimkien mas-seletturi nnegozjati mil-lista ta' fuq. Jekk it-traceroute juri r-router lokali bħala l-ewwel qabża, it-traffiku mhuwiex juża l-mina tkun xi tkun id-dikjarazzjoni tas-seletturi. L-aċċess għall-internet ikun komplut biss meta t-traffiku magħżul jiġi ammess, mgħoddi u rritornat permezz tal-gateway iddisinjat. Li ssib 0.0.0.0/0 fi profil hija l-bidu ta' dik il-katina u mhux il-prova tagħha.

Artikli relatati