StrongSwan jibgħat indirizz DNS li l-Mac ma jistax jilħqu

Kollox jaħdem sakemm xi ħadd jiftaħ MacBook. It-tunnel jiġi stabbilit, il-hosts interni jwieġbu bl-indirizz, u r-riżoluzzjoni tal-ismijiet tmut. Fuq l-iPhone l-istess profil iġib ruħu bl-istess mod, filwaqt li l-klijenti Windows u Linux huma tajbin. Normalment l-attribut DNS mibgħut huwa l-ħati: is-server iqassam l-indirizz pubbliku tal-interface tiegħu stess, u l-klijent IKEv2 ta' Apple ma jibgħatx mistoqsijiet hemmhekk mit-tunnel. Mexxi r-resolver fil-pool u s-sintomu jgħib mingħajr ma tmiss il-klijent.

Is-sintomu jindika l-indirizz mibgħut

Meta jonqsu biss xi pjattaformi, it-tunnel u l-kredenzjali kważi żgur huma tajbin, għax dawk huma kondiviżi. Dak li jvarja huwa kif kull klijent japplika l-payload tal-konfigurazzjoni li jirċievi, inkluż is-server DNS intern. Klijent li jaċċetta l-indirizz imma jdawwar il-mistoqsijiet madwar it-tunnel jispiċċa b'resolver li jara u ma jistax juża.

L-indirizz pubbliku huwa l-għażla tas-soltu għax huwa l-uniku wieħed li l-amministratur diġà jaf. Huwa wkoll l-uniku indirizz garantit barra mill-prefiss tat-tunnel innifsu, u proprju dik il-proprjetà tkisser il-klijenti ta' Apple.

Ħares lejn il-valur qabel ma tbiddel xejn. Jekk ir-resolver mibgħut huwa l-indirizz WAN tas-server, sibt il-forma tal-problema u tista' taqbeż il-bqija tal-ħsieb. Qabblu mal-prefiss tal-pool ukoll, għax indirizz ġewwa l-pool imma barra mill-firxa tal-kirja huwa eżattament kif se jidher it-tiswija. Żewġ minuti mal-konfigurazzjoni jiswew aktar minn wara nofsinhar ta' qbid ta' pakketti fuq il-klijent.

Aqta' r-resolver mill-firxa tal-kirja

Agħti lit-tunnel pjan tal-indirizzi fejn ir-resolver ikun membru tas-subnet tal-pool innifsu, imbagħad irriżerva dak l-indirizz biex qatt ma jiġi mikri lil ebda klijent. F'dan l-eżempju l-pool huwa 10.180.7.0/24, is-server iżomm 10.180.7.1, u l-kirjiet jibdew f'10.180.7.2.

rightsourceip=10.180.7.2/24
rightdns=10.180.7.1

Il-prefiss tal-pool u r-resolver jaqsmu subnet, allura r-rotta li diġà ġġorr it-traffiku tat-tunnel iġġorr ukoll il-mistoqsijiet. Dik il-proprjetà waħda hija li tagħmel it-tiswija trasportabbli bejn il-klijenti. F'konfigurazzjoni swanctl l-istess żewġ fatti jidhru bħala definizzjoni tal-pool u setting DNS fuq il-konnessjoni minflok fis-sintassi ta' ipsec.conf.

Is-server m'għandux bżonn interface fiżika ġdida għal dan. Iż-żieda ta' 10.180.7.1 mal-interface loopback hija biżżejjed biex resolver jorbot u jwieġeb, għax il-klijenti jilħquh permezz tar-rotta tal-pool li diġà teżisti. Żomm l-indirizz barra mill-firxa tal-kirja biex ebda klijent ma jieħdu b'ħafna. Jekk il-pool huwa mmexxi minn servizz DHCP jew RADIUS estern, irriżerva l-indirizz hemmhekk ukoll, inkella l-ewwel klijent li jistaqsi jieħdu.

Orbot r-resolver u agħlaq il-port 53

L-assenjazzjoni ta' indirizz mhijiex l-istess bħall-isma' fuqu. Resolver li jisma' biss fuq l-indirizz LAN se jirrifjuta jew jinjora l-mistoqsijiet mibgħuta lill-indirizz tal-pool, u l-klijent jara timeout li jidher bħal falliment tar-routing.

interface: 10.180.7.1
access-control: 10.180.7.0/24 allow
access-control: 0.0.0.0/0 refuse

Dan il-framment unbound jaċċetta mistoqsijiet mill-pool tat-tunnel u jirrifjuta kollox ieħor, li hija l-politika li trid il-biċċa l-kbira tar-resolvers korporattivi. Jekk l-istess istanza twieġeb ukoll lill-klijenti LAN, żid il-prefiss LAN b'mod espliċitu minflok ma twessa' l-isma' għall-sorsi kollha.

Imbagħad ir-regoli tal-firewall iridu jaqblu mal-kontroll tal-aċċess tar-resolver innifsu. Aċċetta l-port 53 mill-pool, u armih kullimkien ieħor, imma iċċekkja l-ewwel l-ordni tal-katina.

iptables -A INPUT -p udp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

Regola ta' aċċettazzjoni preċedenti u usa' tagħmel l-aħħar żewġ linji dekorattivi, u r-resolver jibqa' aċċessibbli mill-internet. Aqra s-sett effettiv ta' regoli bil-kontaturi minflok ma tafda fl-ordni li kellek f'moħħok. Il-politika alternattiva, li tibgħat l-indirizz pubbliku u tippermetti mistoqsijiet minn kwalunkwe sors, taħdem għal ħafna klijenti, imma tqiegħed ir-resolver fuq l-internet u teħtieġ limitazzjoni tar-rata u monitoraġġ tagħha stess.

Ivverifika x'irċieva attwalment il-klijent

Iċċekkja l-ewwel il-ħarsa tas-server, imbagħad dik tal-klijent, għax it-tnejn ma jaqblux b'mod informattiv. Lista tal-pool turi liema indirizz inkera, u l-lista tal-assoċjazzjonijiet tas-sigurtà turi jekk il-konnessjoni hijiex up bl-identità mistennija.

swanctl --list-sas
swanctl --list-pools
dig +short @10.180.7.1 intranet.plant.example

Il-mistoqsija diretta tipprova li r-resolver iwieġeb fuq l-indirizz tal-pool minn host li jista' jilħqu. Ma tipprovax li l-Mac għażel dak is-server. Fuq macOS, scutil --dns jelenka r-resolvers għal kull servizz skopat u huwa aktar informattiv mill-pannell tas-sommmarju; fuq Windows, Get-DnsClientServerAddress juri jekk l-adapter tat-tunnel aċċettax il-valur mibgħut.

Jekk il-klijent juri l-indirizz tal-pool u l-mistoqsijiet għadhom jagħtu timeout, ir-rotta tat-tunnel jew il-katina tal-firewall hija l-ħatja. Klijent li ma jirrappurtax ebda resolver ifisser li l-payload tal-konfigurazzjoni qatt ma wasal, allura ħares lejn kif dik il-pjattaforma tapplika s-settings mibgħuta u mhux lejn in-netwerk. Ikteb liema miż-żewġ każi rajt qabel ma tbiddel xi ħaġa oħra. Dawn iż-żewġ fallimenti jidhru identiċi fi ticket ta' appoġġ u jwasslu għal tiswijiet opposti.