IPsec-trafikkveljarar: kva dei dekkjer og kva dei ikkje dekkjer

Trafikkveljarar namngjev den indre trafikken som ein IPsec-avtale vernar, og paret blir framforhandla i staden for å bli anteke. To endepunkt kan autentisere kvarandre perfekt og likevel vere usamde om kva pakkar som høyrer til inne i tunnelen. Den usemja er usynleg i tilkoplingsstatusen, som vanlegvis rapporterer ein sunn tunnel. Å lese veljarane frå båe endar og deretter fylgje ein destinasjon finn han raskare enn noka mengd policyredigering.

Les dei frå båe endar

Kvart endepunkt skildrar si eiga side som lokal og den andre sida som ekstern. Det same paret med prefiks framstår difor ombytt i dei to konfigurasjonane, og det er rett og ikkje sjølvmotsigande. Å snu perspektivet er det første ein bør gjere når ein fungerande avtale ser feil ut på papiret. Å samanlikne to filer side ved side utan å bytte dei om gjev eit avvik som ikkje finst.

Verdiane er ikkje alltid enkelt-subnett. IKEv2-veljarar kan bere adresseområde, protokollnummer og portområde, og det er slik ein policy vernar éin teneste i staden for eit heilt nettverk. Ein veljar som er smalare enn den tiltenkte trafikken gjev ein tunnel som ber nokre destinasjonar og stille utelèt andre.

Skriv båe sider inn i éin tabell før du endrar noko. Øvinga avgjer vanlegvis spørsmålet utan å røre ei konfigurasjonsfil.

Innsnevring er avgjerda til svararen

Ein initiator føreslår, og svararen kan berre godta eit delsett. IKEv2 lèt svararen snevre inn dei tilbodne trafikkveljarane, og det innsnevra resultatet er det som faktisk blir installert. Å lese konfigurasjonen til initiatoren skildrar difor eit tilbod, ikkje avtalen.

Det er difor eit subnett som blir lagt til klienten kan gje ein fungerande tunnel som likevel avviser den nye destinasjonen. Tenaren snevra tilbodet inn til det policyen tillet, medan fila til klienten framleis listar det breiare området. Berre den framforhandla tilstanden viser sanninga: på Linux rapporterer ip xfrm policy og child SA-lista i IKEv2-dokumentasjonen til strongSwan kva som vart installert og ikkje kva som vart bede om. Når dei to er usamde, er det policyen til svararen som må endrast.

Eit avvist tilbod er eit anna symptom enn eit innsnevra. Avvising viser seg i framhandlingsloggen og lèt ikkje etter seg noka child-tilknyting i det heile.

Fylg éin destinasjon frå ende til annan

Vel ein ekte destinasjon pluss kjeldeadressa klienten ville brukt for han, og fylg deretter paret gjennom tre uavhengige avgjerder. Ruta vel ein veg, veljaren avgjer om den vegen er verna, og brannmuren avgjer om pakken er tillaten. Kvar av dei kan feile åleine, og ein brei veljar reparerer ingen av dei andre.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Rutespørjinga namngjev grensesnittet og kjeldeadressa som ville bere pakken. Policylista viser om det finst ein samsvarande tunnelpolicy for paret, inkludert retning og nivå. SA-lista viser dei framforhandla child-veljarane saman med teljarar, så ein child-tilknyting med null pakkar etter forsøk på trafikk er signaturen til veljarar som utelèt det som blir sendt. Tre kommandoar, tre ulike svar, og berre éin av dei forklarer eit stille tap.

Viss child-teljarane flyttar seg medan applikasjonen framleis feilar, ligg problemet på utsida av tunnelen. Det flyttar granskinga til lyttaren eller brannmuren til den eksterne verten i staden for til veljarane.

Hald dei to måla åtskilde

Å verne eit kontorsubnett og å sende all surfing gjennom ein ekstern utgang er ulike krav med ulike veljarar. Ein profil bygd for det eine passar sjeldan for det andre, og å blande dei gjev anten ein lekkasje eller ei øydelagd splitting. Å utvide det verna området tyder å endre båe endepunkta og videresendingspolicyen deira, fordi ei einsidig endring blir eit avvist tilbod. Det er den vanlegaste måten ein fungerande tunnel sluttar å verke etter ei lita endring.

Veljarar skildrar kryptografisk dekking, ruter vel vegar, og applikasjonar handhevar sine eigne løyve. Ein tunnel som dekkjer alt, kan framleis ikkje nå ei teneste bunden til loopback, og ei rute inn i tunnelen treng framleis ein veljar som inkluderer destinasjonen. Sjekk alle tre mot den same testførespurnaden, og avviket namngjev seg sjølv.