Għala rotta OpenVPN titlef kontra politika XFRM ta’ strongSwan

Rotta OpenVPN speċifika ma tħassarx politika XFRM: aqra r-rotta u s-seletturi tal-politika, imbagħad iċċekken, agħmel eċċezzjoni jew mur lejn interface XFRM.

Il-pakketti jistgħu jimxu ma’ rotta OpenVPN u xorta jinqabdu minn politika IPsec, u dik il-kombinazzjoni tidher bħala bug tar-routing minn kull angolu ħlief dak it-tajjeb. Linux issolvi rotta u mbagħad tikkonsulta bażi tad-dejta tal-politiki tas-sigurtà separata, għalhekk rotta tad-destinazzjoni aktar speċifika ma tneħħix politika XFRM li taqbel. Is-sintomu viżibbli huwa traffiku li jħalli l-host u qatt ma jasal, filwaqt li ż-żewġ tunnels jiddikjaraw ruħhom b’saħħithom. Tliet għażliet isolvu dan, u liema tagħżel jiddependi minn liema miż-żewġ mogħdijiet għandha ġġorr dak il-prefiss.

Żewġ deċiżjonijiet, mhux waħda

L-għażla tar-rotta twieġeb mistoqsija dejqa: liema hop li jmiss u liema indirizz tas-sors għandhom iġorru dan il-pakkett. Il-bażi tad-dejta tal-politiki tas-sigurtà twieġeb oħra: dan il-pakkett jeħtieġ protezzjoni IPsec, u taħt liema seletturi. It-tnejn jaħdmu għall-istess pakkett, u li tissodisfa l-ewwel ma tgħid xejn dwar it-tieni. Għalhekk it-tibdil ta’ metrika jew iż-żieda ta’ rotta statika jistgħu jħallu s-sintomu mhux mittiefes.

Selettur IPsec wiesa’ huwa l-kawża tas-soltu. Politika li tipproteġi 172.16.0.0/12 tkopri wkoll 172.20.8.0/24, li amministratur jista’ jkollu l-ħsieb jasal għalih mit-tunnel OpenVPN minflok. L-intenzjoni teżisti biss fit-tabella tar-routing, u l-bażi tad-dejta tal-politiki qatt ma saret taf biha.

Ittratta dan bħala konflitt bejn żewġ mogħdijiet ta’ protezzjoni konfigurati u mhux bħala kompetizzjoni bejn żewġ metriki. Il-korrezzjoni tappartjeni lill-komponent li ġie kkonfigurat bl-ambitu żbaljat.

Aqra r-rotta li l-kernel fil-fatt jagħżel

Ibda bit-tiftix li jagħmel il-kernel, inkluż l-indirizz tas-sors u kull regola tal-politika li tista’ ddevjaha lejn tabella oħra. Rotta fit-tabella prinċipali forsi qatt ma tiġi kkonsultata jekk regola preċedenti tagħżel tabella oħra, u t-tqabbil tal-akbar prefiss japplika biss fit-tabella li tagħżel regola.

ip rule show
ip route show table all
ip route get 172.20.8.20 from 10.44.7.15

L-aħħar kmand huwa dak li jgħodd, għax jipprintja r-rotta magħżula flimkien mal-indirizz tas-sors li l-kernel juża. Qabbel dak l-output mas-selettur li taqbel miegħu l-politika IPsec. Meta r-rotta tindika lejn l-interface OpenVPN u l-politika xorta taqbel mal-istess par, tkun irriproduċejt il-konflitt mingħajr ma tħawwad.

Żomm id-dumps ħielsa minn indirizzi mhux relatati qabel ma jaslu għal ticket. Tabella tar-routing minn host tal-produzzjoni ġġorr topoloġija interna, u huma biss il-linji li jwieġbu l-mistoqsija li jixirqilhom jiġu pejstjati.

Aqra wkoll il-politika li tapplika

Il-lista tal-politiki turi direzzjoni, seletturi u l-mudell li jiddeċiedi x’jiġri minn pakkett li jaqbel. Aqra l-ewwel id-direzzjoni tal-ħruġ, imbagħad in-naħa tad-dħul għat-traffiku tar-ritorn, għax eċċezzjoni f’direzzjoni waħda tipproduċi konnessjoni li tibda u qatt ma titlesta.

ip -s xfrm policy
swanctl --list-sas

Qabbel is-seletturi fil-lista mal-prefissi li nnegozjat il-konnessjoni. L-ittrafjar tal-installazzjoni tar-rotot ta’ strongSwan ma jneħħix dawk il-politiki, u l-bdil ta’ metrika ma jbiddilx liema par sors u destinazzjoni tipproteġi politika. Dawn iż-żewġ korrezzjonijiet foloz jixirqilhom jiġu esklużi kmieni għax huma l-ewwel li n-nies jippruvaw.

Jekk il-lista ma fihiex politika għall-prefiss li kont qed tistenna, il-problema hija ximkien ieħor u t-tabella tar-routing probabilment qed tgħid il-verità. Jekk fiha politika usa’ li tkopri l-prefiss, tkun sibt il-qabda.

Tliet għażliet meta ż-żewġ mogħdijiet huma leġittimi

Iċċekkin tas-selettur IPsec huwa l-għażla l-aktar nadifa meta l-prefiss wiesa’ kien komdità u mhux rekwiżit. It-tnaqqis tas-selettur tat-traffiku mbiegħed għas-subnets li tassew jappartjenu wara IPsec ineħħi l-konflitt għal kull host f’daqqa, u jiswa negozjar mill-ġdid taċ-ċavetta u mhux komponent ġdid.

Eċċezzjoni passthrough hija l-għażla kirurġika meta s-selettur wiesa’ jrid jibqa’. strongSwan jappoġġja konnessjoni separata li l-child tagħha tuża l-mod pass, li tgħid lill-kernel li t-traffiku li jaqbel m’għandux jiġi pproċessat minn IPsec. L-indirizz remot tal-loopback iżomm dik il-konnessjoni milli tintgħażel għall-pari li jidħlu, u s-seletturi jridu jiddeskrivu l-par awtorizzat veru u mhux kollox.

connections {
    openvpn-exception {
        remote_addrs = 127.0.0.1
        children {
            openvpn-exception {
                local_ts = 10.44.7.0/24
                remote_ts = 172.20.8.0/24
                mode = pass
                start_action = trap
            }
        }
    }
}

Eżempji ta’ konfigurazzjoni ta’ strongSwan jiddokumentaw dan it-tip ta’ politika u l-konvenzjoni tal-pari loopback. It-tielet għażla hija disinn ibbażat fuq ir-routing b’interfaces XFRM, li tgħaqqad il-politika mat-traffiku rrutat minn interface msemmi minflok ma’ selettur globali. Hija migrazzjoni u mhux aġġustament, u t-traffiku xorta jrid jissodisfa s-seletturi nnegozjati.

OptionUse it whenCost
Narrow the selectorThe broad prefix was convenienceA rekey and a policy review
Passthrough childThe broad selector must stayOne exception per intended pair
XFRM interfacePolicy should follow routingA design migration

Ipprova l-eċċezzjoni mingħajr ma dgħajjef il-bqija

Wara li tgħabbi l-bidla, ipprova l-eċċezzjoni u destinazzjoni ordinarja li trid tibqa’ protetta. Iċċekkja ż-żewġ direzzjonijiet, imbagħad waqqa’ t-tunnel OpenVPN u kkonferma x’jiġri mit-traffiku eċċettwat. Eċċezzjoni li bil-kwiet tibgħat dak il-prefiss fil-miftuħ meta t-tunnel ikun waqaf hija deċiżjoni ta’ politika li għandek tieħu apposta, mhux issib waqt inċident.

Irreġistra liema prefiss juża liema mogħdija u għala. Inkella l-inġinier li jmiss li jara selettur wiesa’ jerġa’ jiftaħ l-istess investigazzjoni, u t-tweġiba tibqa’ f’messagg ta’ commit li ħadd ma jaqra.

Artikli relatati