Mod trap ta' strongSwan: għaliex il-mina IPsec tistenna traffiku

Mina IPsec inattiva fuq talba ma turi l-ebda CHILD SA sakemm pakkett jaqbel mal-politika trap tagħha. Aqra l-istat, iċċekkja t-trigger u kun af meta start jaqbel.

L-ebda CHILD SA ma jidher fil-ħruġ tal-istat, il-mina tidher mejta, u mbagħad ping lejn is-subnet imbiegħed jerfagħha. F'konfigurazzjoni IPsec fuq talba dan l-ordni huwa d-disinn, mhux ħsara. Politika trap tinstalla selettur u tistenna, u l-ewwel pakkett li jaqbel magħha huwa dak li jibda IKE u n-negozjati tal-CHILD SA.

Parti mill-konfużjoni hija vokabolarju: “up” jintuża għal żewġ stati differenti. Il-konfigurazzjoni hija mgħobbija u l-politika tal-kernel teżisti, imma l-assoċjazzjoni tad-dejta le. Monitor li jgħodd biss SA attivi se jirrapporta sit b'saħħtu bħala mitfi sakemm ħadd ma jibgħat traffiku lejh.

Mina inattiva fuq talba m'għandha l-ebda CHILD SA x'turi

Entrata trap ma tawtentika xejn waħedha. Hija titlob lill-kernel iżomm politika għat-traffiku magħżul u jerfa' acquisition meta pakkett ikun jeħtieġ dik il-politika. Id-daemon jirċievi l-acquisition, iqabbel ma' definizzjoni child u jinnegozja minn hemm. Sa dak il-mument m'hemmx IKE SA x'turi lanqas, u għalhekk iż-żewġ listi jistgħu jkunu vojta fl-istess ħin.

Dan l-ordni huwa dak li jagħmel il-logs tinqara. L-ewwel tiġi l-acquisition, imbagħad IKE_SA_INIT u IKE_AUTH, imbagħad il-CHILD SA. Jekk il-log jispiċċa eżatt wara l-acquisition, it-trigger ħadem. In-negozjati fallew, u l-mistoqsija li jmiss hija dwar kredenzjali, proposti jew kobba, mhux dwar it-trap.

Bil-backend tal-kernel Linux tista' tara l-politika qabel ma teżisti ebda SA. Mexxi ip xfrm policy u fittex is-selettur bid-direzzjoni out u template li jindika lejn il-konnessjoni. Dik l-entrata hija l-istat fuq talba, u l-preżenza tagħha hija l-ewwel ħaġa li trid tiġi kkonfermata.

start_action jiddeċiedi jekk xi ħaġa tistenniex xejn

Kull child fi swanctl.conf ġġorr start_action. start jibda meta tiġi mgħobbija l-konfigurazzjoni, trap tinstalla l-politika u tistenna, u none tħalli l-bidu għal xi ħaġa oħra. Biss trap tipproduċi l-imġiba “ping u tisla'” deskritta hawn fuq.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Iż-żewġ seletturi tat-traffiku jiddefinixxu x'jgħodd bħala interessanti, u pakkett minn host barra dawk il-prefissi ma jattivax it-trap; jiġi routed bħas-soltu. It-twessigħ tas-seletturi biex it-trigger ikun iktar ħerqan iwessa' wkoll il-firxa li l-mina tgħid li tipproteġi, għalhekk ġibhom mit-traffiku li tassew beħsiebek tikkripta.

Ir-referenza ta' swanctl.conf telenka l-valuri aċċettati, flimkien mal-azzjonijiet close u DPD separati li jirregolaw x'jiġri ladarba l-SA teżisti.

Skopri jekk it-trigger attivax xejn

Ibda b'swanctl --list-conns u kkonferma li l-child huwa mgħobbi bl-azzjoni li kellhek. Imbagħad ibgħat pakkett wieħed minn host ġewwa local_ts lejn indirizz ġewwa remote_ts u osserva swanctl --list-sas. Jekk il-ħruġ ma jinbidilx, l-ebda acquisition ma wasal għad-daemon.

Żewġ raġunijiet komuni għal trap sieket: il-pakkett għadda minn source-NAT qabel ma laqat il-politika u m'għadux jaqbel ma' local_ts, jew il-konnessjoni qatt ma ġiet mgħobbija minħabba żball ta' sintassi jew kredenzjali. Erġa' mexxi swanctl --load-all u aqra l-ħruġ tiegħu qabel ma tmiss is-seletturi. Konnessjoni li ma ġietx mgħobbija ma tinstalla l-ebda politika, għalhekk m'hemm xejn li t-traffiku jista' jattiva.

Id-direzzjoni hija importanti wkoll: trap installat għat-traffiku ħiereġ ma jibdiex fuq pakkett dieħel. Jekk in-naħa l-imbiegħda għandha terfa' l-mina, teħtieġ it-trap tagħha, jew din in-naħa teħtieġ start.

L-istennija għall-ewwel pakkett mhijiex dejjem il-bdil it-tajjeb

Is-sessjonijiet interattivi jħossu l-ispiża tas-setup. L-ewwel talba tħallas għall-iskambju IKE u n-negozjati CHILD, u klijent b'deadline qasira jista' jċedi qabel ma teżisti l-SA. start proattiv jneħħi dak id-dewmien tal-ewwel pakkett. Iżda jżomm mina miftuħa għal traffiku li jista' qatt ma jasal.

Tliet fatti jiddeċiedu l-għażla: kemm-il darba jintuża l-passaġġ, jekk l-ewwel talba għandhiex deadline stretta, u jekk il-peer huwiex aċċessibbli fil-boot. Traffiku batch okkażjonali u peer li jista' jkun offline fil-boot it-tnejn jiffavorixxu trap. Klijent sensittiv għal-latency u peer dejjem aċċessibbli jiffavorixxu start. Jekk iż-żewġ naħat jistgħu jibdew, ftiehmu min għandu t-trigger biex ma jkollkomx negozjati doppji.

Politika installata mhijiex garanzija kontra t-tnixxija lanqas. Jekk ir-rekwiżit huwa fail-closed, il-firewall irid iwaqqa' traffiku mingħajr SA, u dik ir-regola tgħix barra mid-definizzjoni child.

Ikteb it-tliet linji li jtemmu l-argument li jmiss

Ikteb is-seletturi, l-azzjoni tal-bidu u l-ħruġ tal-kmand li juri l-politika preżenti mingħajr SA. Dawk it-tliet linji jifirdu “fuq talba u inattiv” minn “ma tgħabbix” id-darba li jmiss li xi ħadd jirrapporta l-mina bħala mitfija. Jieħdu minuta biex tinqabadhom. Mingħajrhom l-istess investigazzjoni terġa' tibda minn żero.

Ittestja minn host li tassew jinsab ġewwa s-selettur. Ping mill-router innifsu spiss jieħu triq differenti u ma jipprovax xejn dwar il-politika li tipproteġi s-subnet warajh.

Artikli relatati