IPsec नीतिले तपाईंको स्थानीय ट्राफिक निलिरहेको छ: यो कसरी चिन्ने

टेबुलमा राखिएको प्रिन्टर टनेल माथि आउने बित्तिकै जवाफ दिन छोड्छ, र टनेलको कन्फिगरेसनमा प्रिन्टरको कतै उल्लेख छैन। सामान्यतया यो भएको हो कि एउटा संरक्षित दायरा यति चौडा लेखिएको थियो कि त्यसले उसलाई पनि समावेश गर्छ, त्यसैले मेसिन अब स्थानीय खण्डमा रहनुपर्ने ट्राफिक इन्क्रिप्ट गर्न खोजिरहेको छ। स्थापित नीति पढ्नाले यो कब्जा बुझाउँछ; यसलाई सही ठाउँमा सीमित गर्नाले टाढाको ट्राफिक सुरक्षित राख्छ। असफल अनुरोधदेखि मिल्ने नीतिसम्मको यात्रा केही मिनेट लिन्छ।

चयनक बदल्नुअघि प्रवाह हेर्नुहोस्

असफल अनुरोधबाट सुरु गर्नुहोस् र चार मान लेख्नुहोस्: मेसिनले प्रयोग गर्ने स्रोत ठेगाना, सटीक गन्तव्य, कर्नेलले छान्ने मार्ग र यो जोडीलाई मिल्ने नीति।

यी चार तथ्यले कब्जा जानाजानी हो वा संयोगवश भन्ने निर्धारण गर्छन्। टाढाको चयनकभित्र पर्ने गन्तव्य डिजाइनअनुसार संरक्षित हुन्छ, डिजाइन गलत भए पनि। त्यसबाहिरको गन्तव्य जे पनि पक्राइन्छ भने अरू केही मिलिरहेको छ, र चयनक बदल्नाले मद्दत गर्दैन। दुवै अवस्था सामान्य छन्, र एउटै आदेशले तिनलाई छुट्याउँछ।

यो केही पनि सम्पादन गर्नुअघि गर्नुहोस्, किनकि रोचक अवस्था जडानले संरक्षण गर्ने निजी दायरासँग ओभरल्याप हुने स्थानीय सबनेट हो। 192.168.0.0/16 जस्ता परिचित उपसर्ग धेरै सञ्जालमा देखिन्छन्, र तिनमध्ये एउटाका लागि लेखिएको चयनकले तपाईंको चुपचाप ढाक्न सक्छ।

स्थानीयका तीन प्रकार जो फरक व्यवहार गर्छन्

यो होस्टलाई दिइएको गन्तव्य, उही लिङ्कमा रहेको गन्तव्य र अर्को इन्टरफेसको पछाडि रहेको गन्तव्य तीन फरक अवस्था हुन्। कर्नेलले ट्राफिकलाई सुरक्षा चाहिन्छ कि भन्ने निर्णय गर्दा प्रत्येकलाई फरक तरिकाले हेर्छ।

गेटवेले आफैं उत्पन्न गर्ने ट्राफिक पनि ग्राहकबाट पठाइएको ट्राफिकजस्तो हुँदैन। पठाइएको ट्राफिकका लागि सही देखिने नीतिले गेटवेको आफ्नै व्यवस्थापन सत्र पक्रन सक्छ, र यसरी प्रशासकले टनेल मर्मत गर्दा पहुँच गुमाउँछ।

उपयोगी बानी भनेको अवस्थालाई ठूलो स्वरमा नाम दिनु हो: यो प्याकेट मबाट आउँछ, मेरो लिङ्कतिर जान्छ वा मबाट जान्छ? हरेक जवाफले सीमित गर्ने फरक ठाउँ देखाउँछ। अवस्था लेख्नाले अर्को व्यक्तिलाई पनि त्यही काम दोहोर्याउनबाट रोक्छ।

जब संरक्षित दायरा पूरै निजी ठाउँ हुन्छ, तीनवटै अवस्था एकैचोटि त्यसमा पर्न सक्छन्, र लक्षण टनेलको अन्त्य बिन्दुबाहेक कतै नपुग्ने मेसिन बन्छ।

स्थापित नीति पढ्नुहोस्, फाइल होइन

कन्फिगरेसन फाइलहरू मनसाय वर्णन गर्छन्; कर्नेलले साँच्चै मिल्ने नीतिहरू राख्छ। दुवै देखाउनुहोस् र बेमेललाई पहिलो फेला मान्नुहोस्।

यी आदेशले गन्तव्यका लागि छानिएको मार्ग र हरेक दिशामा स्थापित नीतिहरू देखाउँछन्:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

मार्गले प्याकेटले कुन इन्टरफेस प्रयोग गर्ने बताउँछ। नीतिहरूको सूचीले त्यसपछि त्यो प्याकेटमा ढाँचा लागू हुन्छ कि भन्ने बताउँछ, र जडानहरूको सूचीले डेमनले कुन चयनक स्थापित मान्छ देखाउँछ। यदि गन्तव्य टाढाको चयनकमा देखियो भने, तपाईंले अनुमान नगरी कब्जा भेट्टाउनुभयो।

चयनक सीमित गर्नुहोस् वा गन्तव्य छल्नुहोस्

दुई समर्थित मर्मत छन् र तिनले फरक प्रश्नको जवाफ दिन्छन्। चयनक सीमित गर्नु भनेको यो जडानले मात्र सानो दायरा संरक्षण गर्छ, जो चौडा दायरा गल्ती हुँदा सही हुन्छ। छल्ने थप्नु भनेको यो विशिष्ट गन्तव्य कहिल्यै संरक्षित हुनुहुँदैन, जो संरक्षित दायरा साँच्चै चौडा हुँदा र एक गन्तव्य अपवाद हुँदा सही हुन्छ।

सक्दा पहिलो छान्नुहोस्, किनकि सानो चयनकबारे सोच्न सजिलो हुन्छ र त्यो जडानको परिभाषामा देखिन्छ। चौडा दायरा जानाजानी हुँदा र अपवाद नाम दिन सकिने एउटा होस्ट वा सबनेट हुँदा दोस्रो छान्नुहोस्।

दुवै त्यो कन्फिगरेसनका हुन् जसको जडान छ। हातले थपिएको रनटाइम नियम अर्को पुनः जडानमा हराउँछ, र खराबी त्यो क्षण फर्कन्छ जब कसैलाई त्यो अस्थायी उपाय सम्झना हुँदैन।

पुनःस्थापनामा टिक्ने अपवाद

परिवर्तनपछि त्यही हानिरहित अनुरोध दोहोर्याउनुहोस् र त्यही काउन्टर हेर्नुहोस्। स्थानीय गन्तव्यले जवाफ दिनुपर्छ, र इच्छित टाढाको गन्तव्यले अझै इन्क्रिप्टेड ट्राफिक देखाउनुपर्छ।

यी दुई जाँचले अपवाद बाँच्यो र सुरक्षा बाँचेन भनी पुष्टि गर्छन्:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

त्यसपछि टनेल जानाजानी विच्छेद र पुनः जडान गर्नुहोस्, र दुवै दोहोर्याउनुहोस्। पुनः जडानअघि काम गर्ने र पछि असफल हुने अपवाद गलत तहमा लागू भएको छ, र यो यस समस्याको फर्कने सबैभन्दा सामान्य तरिका हो।