Ir-rotta awtomatika XFRM belgħet IKE u ESP: żomm il-passaġġ ta' barra

It-traffiku huwa protett, it-tunnel qiegħed jaħdem, u mbagħad imut fit-tiġdid tal-keys li jmiss. Rotta awtomatika mill-interface XFRM iddeskriviet it-traffiku li ridt tipproteġi. Hija belgħet ukoll il-pakketti meħtieġa biex il-protezzjoni tkompli.

Iż-żewġ destinazzjonijiet involuti mhumiex interkambjabbli. Ir-routing irid jgħid dan b'mod espliċitu.

Fejn tassew tmur it-tfittxija tal-peer

Irreġistra r-regoli attivi, it-tabella li fiha r-rotta XFRM u l-indirizz pubbliku tal-peer. Imbagħad ara l-passaġġ li tieħu l-konnessjoni ta' barra bl-sors u l-marka reali tagħha. Destinazzjoni ġenerika ma tgħidlek xejn dwar dak il-passaġġ ta' kontroll. Biss is-sors u l-marka reali jagħtu tweġiba utli.

Konnessjoni inizjali b'suċċess ukoll tipprova ftit. Il-falliment spiss jidher wara li installazzjoni ta' rotta tibdel it-tweġiba. Il-bidu jirnexxi, imbagħad l-ewwel tiġdid ma jirnexxix.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Jekk it-tfittxija għall-peer tispiċċa fl-interface XFRM, il-pakketti ta' barra jiġu routed fit-tunnel li huma stess jibnu. Dik hija l-linja ċirkolari, tidher b'ordni waħda.

Għażliet ta' esklużjoni fuq gateway modern

Id-dokumentazzjoni ta' strongSwan dwar VPN ibbażat fuq routing tressaq żewġ tweġibiet prattiċi. Waħda timmarka IKE u ESP biex ir-regola lejn it-tabella XFRM ma taqbilx magħhom. L-oħra tħalli rotta tal-peer jew esklużjoni li t-tfittxija għadha tista' tilħaq.

Ħu dik li s-sett ta' regoli tiegħek jista' jesprimi mingħajr effetti sekondarji. Marka hija nadifa meta l-bqija tal-stack diġà juża marki. Hija periklu meta l-istess maska tfisser xi ħaġa oħra f'regola oħra. Iż-żewġ tipi ta' pakketti jeħtieġu t-trattament xorta waħda.

Li timmarka IKE biss iħalli l-pakketti tad-data fuq il-passaġġ maqbud. Dan jipproduċi tunnel li jagħmel handshake u mbagħad ma jġorr xejn.

Il-marka hija bit wieħed fil-fwmark tal-pakkett li ħadd ieħor fuq il-gateway ma jitlob: 0x1 b'maska 0x1 hija l-għażla tas-soltu, u trid tiġi stabbilita f'żewġ postijiet biex l-esklużjoni taħdem. Charon jeħtieġha fuq is-socket IKE, u l-issettjar tal-marka tad-dħul u tal-ħruġ tal-konnessjoni tat-tfal jeħtieġ l-istess valur biex il-pakketti inkapsulati joħorġu mmarkati wkoll. Maska ta' 0x1 minflok 0xffffffff tħalli l-bits li jifdal ħielsa, li huwa importanti meta sottosistema oħra diġà timmarka pakketti fuq l-istess host. Meta t-tnejn huma stabbiliti, ir-regola tinkiteb bħala esklużjoni, għalhekk il-pakketti mmarkati jaqbżu t-tabella li fiha r-rotta XFRM u jaqgħu fit-tabella prinċipali:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Imbagħad aqra t-tweġiba bil-marka applikata. Mingħajrha inti teżamina l-passaġġ li jieħu t-traffiku protett, li huwa l-oppost tal-mistoqsija ta' din it-taqsima.

X'inhi tassumi l-installazzjoni awtomatika dwar il-build

Installazzjoni awtomatika tar-rotta għal interface XFRM tiddependi mill-verżjoni ta' strongSwan u l-konfigurazzjoni tagħha. L-ID tal-interface, il-politika installata u l-assoċjazzjoni kollha jridu jirreferu għall-oġġetti maħsuba. Nuqqas ta' qbil jidher bħala rotta li bil-kwiet tindika lejn xi post reali.

Li tikkopja numru ta' tabella jew maska tal-marka minn gateway ieħor hija kif jibdew il-kolliżjonijiet. Iċċekkja l-ewwel x'qiegħed diġà jużaha. Kolliżjoni taffettwa traffiku ħafna lil hinn mit-tunnel li ridt tibdel, u s-sintomu rari jindika l-kopja.

Il-bidliet fl-indirizz tal-peer huma parti mid-disinn. Rotta tal-host għall-indirizz tal-bieraħ mhijiex pjan ta' rkupru tal-endpoint, filwaqt li marka tgħix dak il-bidla.

Ogħla l-ewwel tiġdid

Iċċekkja l-passaġġ ta' barra wara li r-rotot protetti jiġu installati, mhux qabel. Imbagħad ogħla t-tiġdid li jmiss u skambju wieħed ta' applikazzjoni. Il-falliment normalment jidher f'dak it-tranżizzjoni u mhux fil-bidu.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

It-tneħħija temporanja tar-rotta awtomatika protetta normalment terġa' ġġib il-konnettività. Dak ir-riżultat huwa dijanjostiku, mhux finali.

L-għan huwa diviżjoni stabbli bejn it-traffiku intern u l-pakketti ta' barra li jġorruh. Ikteb il-mekkaniżmu magħżul u t-tabella jew il-marka tiegħu fin-noti tal-gateway. Inkella l-persuna li jmiss li tmiss ir-regoli terġa' ddaħħal il-linja ċirkolari.