Għaliex politika tas-sigurtà IPsec mhix entrata fit-tabella tar-rotot

Ibgħat ping lejn 10.20.0.5 mill-mina u xejn ma jiġi lura, waqt li t-tabella tar-rotot tinsisti li dik is-subnet hija aċċessibbli. Ir-routing u IPsec iwieġbu mistoqsijiet differenti, u waħda biss minnhom hija dwar l-aċċessibbiltà. It-tfittxija 'il quddiem tagħżel mogħdija, imbagħad id-database tal-politika tas-sigurtà tiddeċiedi jekk dik il-mogħdija għandhiex tiġi protetta, titħalla kif inhi jew tiġi miċħuda. Meta t-tnejn ma jaqblux, il-pakkett imut bil-kwiet, għalhekk aqrahom f'dik l-ordni.

Ibda bit-tfittxija, mhux bit-tabella

Staqsi lill-kernel x'jagħmel tassew: ip route get 10.20.0.5 jistampa r-rotta magħżula, l-interface tal-ħruġ u l-indirizz tas-sors li juża. Prefiss, regola tal-politika, marka jew sors preferut kollha jistgħu jbiddlu dik it-tweġiba, u għalhekk it-tfittxija ħajja taqbeż il-qari tat-tabella bl-għajn.

Ittestja destinazzjoni ġewwa l-firxa protetta, mhux l-indirizz tal-gateway. Li tasal sal-gateway tan-naħa l-oħra jipprova biss li teżisti xi rotta; ma jgħid xejn dwar is-subnet li tassew għandek bżonn. Imbagħad ikkonferma li l-interface li għażlet it-tfittxija hija dik li tistenna li l-mina tuża.

Qabbil il-seletturi fuq iż-żewġ naħat

Id-database tal-politika għandha l-entrati tagħha, u kull waħda ssemmi direzzjoni, sors, destinazzjoni u protokoll, imbagħad tgħid x'għandu jiġri lill-pakketti li jaqblu. Uża ip xfrm policy biex telenkahom; il-bnadar juru jekk l-azzjoni hijiex protezzjoni, bypass jew blokk. Politika li s-seletturi tagħha huma usa' jew idjaq mill-fluss tat-test tiegħek mhux se taqbel miegħu, u l-pakkett joħroġ mingħajr protezzjoni. Dan huwa l-ħsara li qed tfittex, mhux rotta nieqsa.

Qabbel il-valuri reali: sors, destinazzjoni, protokoll u ports. Jekk it-tfittxija solviet par indirizzi wieħed waqt li l-entrata tal-politika tkopri ieħor, iż-żewġ veduti jiddeskrivu traffiku differenti. Erġa' ħaddem it-tnejn bl-istess tuple qabel ma tasal għal konklużjoni, inkella se teditja politika li qatt ma kienet fil-mogħdija.

Qbil tal-politika mhuwiex stat installat

Politika li taqbel tgħid biss li l-pakkett għandu jiġi protett; il-kernel xorta għandu bżonn assoċjazzjoni tas-sigurtà biex tagħmel il-protezzjoni. Elenkahom b'ip xfrm state, jew b'swanctl --list-sas meta strongSwan jagħmel in-negozjati, u aqra s-seletturi u l-kontaturi fuq kull entrata.

Meta politika taqbel u l-ebda assoċjazzjoni ma tkopri l-istess seletturi, il-pakkett jintrema minflok ma jintbagħat f'test ċar. Dak huwa t-tarmir li għandek tfittex meta l-mina tkun attiva imma subnet waħda tfalli. Il-kontaturi jgħidu l-bqija: assoċjazzjoni li qatt ma tiżdied qatt ma ntgħażlet, filwaqt li waħda li tiżdied u xorta tispiċċa fi tarmir tindika n-naħa remota. Li tissewwi s-seletturi u li ġġedded iċ-ċwievet huma tiswijiet differenti, għalhekk iddeċiedi liema għandek bżonn qabel ma tmiss il-konfigurazzjoni.

X'għadha teħtieġ mina bbażata fuq rotta

Interface XFRM tagħmel il-mina tidher bħal apparat li tista' tidderieġi lejh, li huwa tassew utli. Ma tneħħix il-politika u l-istat li jiddeċiedu x'jiġri meta l-pakkett jasal hemm. Ir-rotta tikkontribwixxi hop li jmiss u xejn aktar.

Jekk l-apparat jeżisti u r-rotta tipponta ġo fih waqt li l-ebda assoċjazzjoni ma taqbel mas-seletturi interni, il-pakkett jintrema, u l-ebda ammont ta' editjar tar-rotot ma jipproduċi ċwievet jew seletturi. Iċċekkja l-interface bl-istess sors u destinazzjoni li dderieġejt, imbagħad qabbel dak mal-lista tal-istati.

Iċċara s-sjieda qabel ma teditja xejn

Firewall tal-host iżid tielet deċiżjoni li l-ebda waħda miż-żewġ databases ma taf biha. Rotta korretta flimkien ma' politika li taqbel flimkien ma' assoċjazzjoni installata xorta jistgħu jispiċċaw fi pakkett imtarmar, u l-applikazzjoni tirrapporta biss it-timeout. Ikkonferma li l-firewall jippermetti t-traffiku protett qabel ma takkuża IPsec. Li taqbad fuq l-apparat tal-mina u fuq l-interface fiżika juri f'liema naħa taċ-ċifrar il-pakkett sparixxa.

Is-sjieda tal-konfigurazzjoni tiddeċiedi jekk it-tiswija tiegħek tiflaħx għal restart. Komponent wieħed jista' jinstalla stat waqt li ieħor jimmaniġġja r-rotot, u editjar bl-idejn tat-tieni jiġi sostitwit meta l-mina terġa' titla' d-darba li jmiss. Ibdel il-konfigurazzjoni tas-sid, imbagħad erġa' aqra ż-żewġ veduti; RFC 4301 iżomm iż-żewġ databases separati meta jkollok tispjega d-diviżjoni lil xi ħadd ieħor.