XFRM-standaardroute slokte IKE en ESP op: houd het buitenste pad

Het verkeer is beschermd, de tunnel staat, en dan sterft hij bij de volgende sleutelvernieuwing. Een standaardroute via de XFRM-interface beschreef het verkeer dat u wilde beschermen. Hij slokte ook de pakketten op die nodig zijn om die bescherming voort te zetten.

De twee betrokken bestemmingen zijn niet uitwisselbaar. De routering moet dat expliciet zeggen.

Waar de peer-lookup werkelijk terechtkomt

Noteer de actieve regels, de tabel met de XFRM-route en het openbare peer-adres. Kijk dan naar het pad dat de buitenste verbinding zou nemen met zijn echte bron en markering. Een algemene bestemming zegt niets over dat controlepad. Alleen de werkelijke bron en markering geven een bruikbaar antwoord.

Een geslaagde eerste verbinding bewijst ook weinig. De fout verschijnt vaak nadat een route-installatie het antwoord heeft veranderd. De start lukt, daarna lukt de eerste vernieuwing niet.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Als de lookup voor de peer in de XFRM-interface uitkomt, worden de buitenste pakketten gerouteerd naar de tunnel die ze zelf bouwen. Dat is de lus, zichtbaar in één commando.

Uitsluitingsopties op een moderne gateway

De documentatie van strongSwan over routegebaseerde VPN geeft twee praktische antwoorden. Het ene markeert IKE en ESP zodat de regel naar de XFRM-tabel er niet op past. Het andere laat een peer-route of uitsluiting staan die de lookup nog kan bereiken.

Neem degene die uw regelset zonder bijwerkingen kan uitdrukken. Een markering is schoon wanneer de rest van de stack al markeringen gebruikt. Hij is gevaarlijk wanneer dezelfde masker in een andere regel iets anders betekent. Beide pakkettypen hebben de behandeling hoe dan ook nodig.

Alleen IKE markeren laat de datapakketten op het gevangen pad. Dat levert een tunnel op die de handshake doet en daarna niets vervoert.

De markering is één bit in de fwmark van het pakket dat niets anders op de gateway opeist: 0x1 met masker 0x1 is de gebruikelijke keuze, en hij moet op twee plaatsen worden gezet wil de uitsluiting werken. Charon heeft hem nodig op de IKE-socket, en de inkomende en uitgaande markinstellingen van de child-verbinding hebben dezelfde waarde nodig zodat ook ingekapselde pakketten gemarkeerd vertrekken. Een masker van 0x1 in plaats van 0xffffffff laat de overige bits vrij, wat uitmaakt wanneer een ander subsysteem al pakketten markeert op dezelfde host. Als beide zijn gezet, wordt de regel als uitsluiting geschreven, zodat gemarkeerde pakketten de tabel met de XFRM-route overslaan en naar de hoofdtabel doorvallen:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Lees daarna het antwoord met de markering toegepast. Zonder die markering onderzoekt u het pad dat beschermd verkeer neemt, wat het tegenovergestelde is van de vraag in deze sectie.

Wat automatische installatie over de build aanneemt

Automatische route-installatie voor een XFRM-interface hangt af van de strongSwan-versie en zijn configuratie. De interface-ID, het geïnstalleerde beleid en de associatie moeten allemaal naar de bedoelde objecten verwijzen. Een mismatch verschijnt als een route die stil ergens echts naartoe wijst.

Een tabelnummer of een markmasker van een andere gateway kopiëren is hoe botsingen beginnen. Controleer eerst wat het al gebruikt. Een botsing beïnvloedt verkeer ver voorbij de tunnel die u wilde wijzigen, en het symptoom wijst zelden naar de kopie.

Wijzigingen van het peer-adres horen bij het ontwerp. Een hostroute voor het adres van gisteren is geen herstelplan voor het eindpunt, terwijl een markering die wijziging overleeft.

Let op de eerste vernieuwing

Controleer het buitenste pad nadat de beschermde routes zijn geïnstalleerd, niet ervoor. Let daarna op de volgende vernieuwing en één applicatie-uitwisseling. De fout verschijnt meestal bij die overgang en niet bij de start.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

De beschermde standaardroute tijdelijk verwijderen herstelt meestal de verbinding. Dat resultaat is diagnostisch, niet definitief.

Het doel is een stabiele splitsing tussen binnenverkeer en de buitenste pakketten die het dragen. Schrijf het gekozen mechanisme en de bijbehorende tabel of markering in de notities van de gateway. Anders herintroduceert de volgende persoon die de regels aanraakt de lus.