XFRM को पूर्वनिर्धारित रुटले IKE र ESP निल्यो: बाहिरी मार्ग राख्नुहोस्

ट्राफिक सुरक्षित छ, टनेल चालु छ, र त्यसपछि अर्को कुञ्जी नवीकरणमा त्यो मर्छ। XFRM इन्टरफेसबाट जाने पूर्वनिर्धारित रुटले तपाईं सुरक्षित गर्न चाहनुभएको ट्राफिकको वर्णन गर्थ्यो। यसले सुरक्षा जारी राख्न आवश्यक प्याकेटहरू पनि निल्यो।

संलग्न दुई गन्तव्यहरू आपसमा अदलबदल गर्न मिल्ने छैनन्। राउटिङले त्यो स्पष्ट भन्नुपर्छ।

पियरको खोज वास्तवमा कहाँ जान्छ

सक्रिय नियमहरू, XFRM रुट राख्ने तालिका र पियरको सार्वजनिक ठेगाना अभिलेख गर्नुहोस्। त्यसपछि बाहिरी जडानले आफ्नो वास्तविक स्रोत र मार्कसहित कुन बाटो लिन्छ हेर्नुहोस्। सामान्य गन्तव्यले त्यो नियन्त्रण मार्गबारे केही बताउँदैन। केवल वास्तविक स्रोत र मार्कले उपयोगी जवाफ दिन्छ।

सफल प्रारम्भिक जडानले पनि थोरै मात्र प्रमाणित गर्छ। रुट स्थापनाले जवाफ बदलेपछि असफलता प्रायः देखिन्छ। सुरुवात सफल हुन्छ, त्यसपछि पहिलो नवीकरण हुँदैन।

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

यदि पियरको खोज XFRM इन्टरफेसमा पुग्छ भने, बाहिरी प्याकेटहरू तिनीहरूले नै बनाउने टनेलमा रुट हुन्छन्। त्यही लूप हो, एउटै आदेशमा देखिन्छ।

आधुनिक गेटवेमा बहिष्करणका विकल्पहरू

strongSwan को रुट-आधारित VPN सम्बन्धी कागजात ले दुई व्यावहारिक जवाफ दिन्छ। एउटाले IKE र ESP चिन्हित गर्छ ताकि XFRM तालिकातर्फ देखाउने नियम तिनीहरूमा लागू नहोस्। अर्कोले पियर रुट वा बहिष्करण छोड्छ जहाँ खोज अझै पुग्न सक्छ।

तपाईंको नियमसमूहले साइड इफेक्टबिना व्यक्त गर्न सक्ने चयन गर्नुहोस्। स्ट्याकको बाँकी भागले पहिले नै मार्क प्रयोग गर्दै छ भने मार्क सफा हुन्छ। त्यही मास्कले अर्को नियममा अरू केही अर्थ राख्दछ भने त्यो जोखिम हो। दुवै प्रकारका प्याकेटलाई जसरी पनि यो उपचार चाहिन्छ।

केवल IKE चिन्हित गर्दा डाटा प्याकेटहरू समातिएको मार्गमै रहन्छन्। त्यसले ह्यान्डशेक गरेर त्यसपछि केही नबोक्ने टनेल बनाउँछ।

मार्क भनेको प्याकेटको fwmark मा गेटवेमा अरू कसैले दाबी नगर्ने एक बिट हो: मास्क 0x1 सहित 0x1 सामान्य विकल्प हो, र बहिष्करण काम गर्न त्यो दुई ठाउँमा सेट गर्नुपर्छ। Charon लाई त्यो IKE सकेटमा चाहिन्छ, र चाइल्ड जडानको इनबाउन्ड र आउटबाउन्ड मार्क सेटिङलाई त्यही मान चाहिन्छ ताकि एनक्याप्सुलेटेड प्याकेट पनि मार्क भएर बाहिर जाऊन्। 0xffffffff को सट्टा 0x1 मास्कले बाँकी बिटहरू मुक्त राख्छ, जुन त्यही होस्टमा अर्को सबसिस्टमले पहिले नै प्याकेट मार्क गरिरहेको बेला महत्त्वपूर्ण हुन्छ। दुवै सेट भएपछि नियम बहिष्करणका रूपमा लेखिन्छ, त्यसैले मार्क भएका प्याकेटहरू XFRM रुट राख्ने तालिका छोडेर मुख्य तालिकामा पर्छन्:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

त्यसपछि मार्क लागू गरेर जवाफ पढ्नुहोस्। त्यो बिना तपाईं सुरक्षित ट्राफिक जाने मार्ग जाँच्नुहुन्छ, जो यो खण्डको प्रश्नको उल्टो हो।

स्वचालित स्थापनाले निर्माणबारे के मान्छ

XFRM इन्टरफेसका लागि स्वचालित रुट स्थापना strongSwan संस्करण र त्यसको कन्फिगरेसनमा निर्भर गर्छ। इन्टरफेस ID, स्थापित नीति र एसोसिएसन—सबैले इच्छित वस्तुहरूलाई सन्दर्भ दिनुपर्छ। असंगति यस्तो रुटका रूपमा देखिन्छ जो चुपचाप कतै वास्तविक ठाउँतर्फ संकेत गर्छ।

अर्को गेटवेबाट तालिका नम्बर वा मार्क मास्क प्रतिलिपि गर्नु नै टकराव सुरु हुने तरिका हो। पहिले यो पहिले नै केले प्रयोग गरिरहेको छ जाँच्नुहोस्। टकरावले तपाईं बदल्न चाहेको टनेलभन्दा धेरै परको ट्राफिकलाई असर गर्छ, र लक्षण विरलै प्रतिलिपितर्फ संकेत गर्छ।

पियर ठेगानाका परिवर्तन डिजाइनको भाग हुन्। हिजोको ठेगानाका लागि होस्ट रुट एन्डपोइन्ट पुनर्प्राप्ति योजना होइन, जबकि मार्क त्यो परिवर्तन सहन्छ।

पहिलो नवीकरण हेर्नुहोस्

सुरक्षित रुटहरू स्थापना भएपछि बाहिरी मार्ग जाँच्नुहोस्, पहिले होइन। त्यसपछि अर्को नवीकरण र एउटा अनुप्रयोग आदानप्रदान हेर्नुहोस्। असफलता सामान्यतया त्यही संक्रमणमा देखिन्छ, सुरुवातमा होइन।

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

सुरक्षित पूर्वनिर्धारित मार्ग अस्थायी रूपमा हटाउँदा सामान्यतया जडान फर्किन्छ। त्यो नतिजा निदानात्मक हो, अन्तिम होइन।

लक्ष्य भित्री ट्राफिक र त्यसलाई बोक्ने बाहिरी प्याकेटहरूबीच स्थिर विभाजन हो। छानिएको संयन्त्र र त्यसको तालिका वा मार्क गेटवेका नोटहरूमा लेख्नुहोस्। नत्र नियमहरूलाई छुने अर्को व्यक्तिले लूप फेरि ल्याउनेछ।