strongSwan til AWS Site-to-Site: kvifor Child SA ikkje vel noko

Ein IKE-tunnel kan vere oppe medan barneassosiasjonen utelèt subnettet ditt. Sammenlikn først AWS sin lokale og eksterne CIDR med leftsubnet og rightsubnet.

Konsollen viser up, strongSwan rapporterer ein etablert IKE-assosiasjon, og pakkane kjem framleis ikkje fram. Det neste som skal samanliknast er ikkje den førehandsdelte nøkkelen, men paret av prefiks som kvar side trur tunnelen vernar. Gå gjennom kontrollane nedanfor i rekkjefølgje, fordi dei to første avgjer om tunnelen i det heile kan bera trafikken din.

Set om AWS-namna til omgrepa i strongSwan

AWS skildrar sambandet frå kundesida: kundegateway-adressa og den lokale CIDR-en høyrer til deg, og den eksterne CIDR-en høyrer til VPC-en. strongSwan kallar dei to endane left og right, med prefikset ditt i leftsubnet og VPC-prefikset i rightsubnet. Byter du om eitt par, får du ein tunnel som forhandlar og vel feil trafikk.

Last ned konfigurasjonen AWS genererer for sambandet og handsam han som referansen for nettopp det sambandet, inkludert tunneladresser og prefiks. Let du begge CIDR-felta stå tomme ved oppretting, brukar tenesta standardverdien 0.0.0.0/0 på kvar side. Ein ruter sett opp med eit smalt prefiks vil då aldri samsvare, så anten fyll ut felta eller utvid veljaren med vilje.

Eit avvik her ser ut som ein rutefeil og er det ikkje.

Fest adressa AWS faktisk ser

Ein ruter bak NAT kan senda IKE frå eit grensesnitt den andre sida aldri har kjent. Gateway-adressa som blir registrert i AWS, må vere den AWS observerer på nettet, og ruteren må festast til same lokale adresse i staden for å følgje standardruta.

conn %default
    local_addrs = 203.0.113.10

I strongSwan vel local_addrs kjeldeadressa for IKE, og eldre OpenSwan-konfigurasjonar skriv same idé som left. Peik henne mot grensesnittet som har den offentlege adressa, og stadfest deretter på sjølve NAT-eininga at UDP 500 og 4500 når den verten, fordi ei regel som ligg att frå ein tidlegare ruter droppar dei lydlaust. Eit korrekt veljarpar med feil kjeldeadresse feilar likevel, og loggen vil gje forslaget skulda. Nettopp denne villleiinga er grunnen til at kjeldeadressa fortener si eiga kontroll.

Stadfest vidaresendingsregelen i staden for å ta han for gitt, fordi ei regel som var rett for den førre ruteren ofte blir liggjande.

Handsam fase 1 og fase 2 kvar for seg

AWS viser IKE- og ESP-vala som separate lister. Eit IKE-sett som begge sider godtek, seier ingenting om ESP-forslaget, fordi dei to listene er uavhengige. Les begge frå den genererte konfigurasjonen og samanlikn dei éin om gongen.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Syntaks flyttar seg ikkje mellom implementasjonar. Eit par som verkar i OpenSwan, til dømes phase2alg=aes_gcm med ike=aes256-sha1;modp1024, må setjast om til strongSwan sin esp=- og ike=-form, og algoritmenamna er ulike. Fordi GCM autentiserer medan ho krypterer, treng ho inga eiga integritetstransformasjon, i motsetnad til eit CBC-sett para med SHA. Ei fase 2-linje lima inn frå éin daemon til ein annan utan omsetjing gjev ei avvising som blir lesen som eit veljaravvik.

Kontroller barneassosiasjonen, ikkje tunnelindikatoren

Viss sambandet blir lasta men ingen barneassosiasjon kjem opp, vart anten forslaget eller veljarane avviste. Viss eit barn kjem opp og veljarane utelèt prefiksa dine, blir pakkane filtrerte før dei når tunnelen. Indikatoren i konsollen dekkjer berre IKE-nivået, så han kan ikkje seie kva av dei to tinga som skjedde.

ipsec statusall

Finn barneassosiasjonen for tryggleik og les trafikkveljarane som er skrivne ut ved sida av, og samanlikn dei deretter med prefiksa frå den genererte konfigurasjonen.

Test frå ein vert inne i det lokale prefikset til ein vert inne i VPC-prefikset, og kontroller returvegen samt ein kvar tryggleiksgruppe eller nettverks-ACL på AWS-sida. Korrekte veljarar vernar ikkje ein pakke mot å bli droppa seinare.

Når det framleis feilar etter at veljarane samsvarar

Stadfest at ruta på begge sider peikar mot tunnelen, og stadfest deretter at NAT-eininga ikkje skriv om trafikken på ein måte politikken ikkje ventar. Ein politikkbasert tunnel samsvarar pakkeadresser, så ei omsetjing som blir brukt etter politikkavgjerda endrar resultatet.

Logg éin pakke inn og éin pakke ut på kvar side før du endrar eit anna forslag.

Noter veljarane, forslaga for fase 1 og fase 2 og kjeldeadressa i saka. Desse fire verdiane forklarer dei fleste site-to-site-feila utan ein telefonsamtale.

Relaterte artiklar