IPsec ਟ੍ਰੈਫਿਕ ਸਿਲੈਕਟਰ: ਉਹ ਕੀ ਕਵਰ ਕਰਦੇ ਹਨ ਅਤੇ ਕੀ ਨਹੀਂ

ਟ੍ਰੈਫਿਕ ਸਿਲੈਕਟਰ ਉਸ ਅੰਦਰੂਨੀ ਟ੍ਰੈਫਿਕ ਦਾ ਨਾਮ ਦਿੰਦੇ ਹਨ ਜਿਸ ਨੂੰ IPsec ਸਮਝੌਤਾ ਬਚਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਜੋੜੀ ਮੰਨੀ ਨਹੀਂ ਜਾਂਦੀ, ਗੱਲਬਾਤ ਰਾਹੀਂ ਤੈਅ ਹੁੰਦੀ ਹੈ। ਦੋਵੇਂ ਸਿਰੇ ਇੱਕ ਦੂਜੇ ਦੀ ਪੂਰੀ ਤਸਦੀਕ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਫਿਰ ਵੀ ਇਸ ਗੱਲ ਤੇ ਅਸਹਿਮਤ ਰਹਿ ਸਕਦੇ ਹਨ ਕਿ ਕਿਹੜੇ ਪੈਕੇਟ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਆਉਂਦੇ ਹਨ। ਇਹ ਅਸਹਿਮਤੀ ਕਨੈਕਸ਼ਨ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਅਦਿੱਖ ਰਹਿੰਦੀ ਹੈ, ਜੋ ਆਮ ਤੌਰ ਤੇ ਸਿਹਤਮੰਦ ਸੁਰੰਗ ਦੀ ਰਿਪੋਰਟ ਕਰਦੀ ਹੈ। ਸਿਲੈਕਟਰਾਂ ਨੂੰ ਦੋਵੇਂ ਸਿਰਿਆਂ ਤੋਂ ਪੜ੍ਹ ਕੇ ਫਿਰ ਇੱਕ ਮੰਜ਼ਿਲ ਦਾ ਪਿੱਛਾ ਕਰਨਾ ਕਿਸੇ ਵੀ ਨੀਤੀ ਸੋਧ ਨਾਲੋਂ ਛੇਤੀ ਇਹ ਲੱਭ ਲੈਂਦਾ ਹੈ।

ਇਨ੍ਹਾਂ ਨੂੰ ਦੋਵੇਂ ਸਿਰਿਆਂ ਤੋਂ ਪੜ੍ਹੋ

ਹਰ ਸਿਰਾ ਆਪਣੇ ਪਾਸੇ ਨੂੰ ਸਥਾਨਕ ਅਤੇ ਦੂਜੇ ਪਾਸੇ ਨੂੰ ਦੂਰ ਦਾ ਦੱਸਦਾ ਹੈ। ਇਸ ਲਈ ਉਹੀ ਪ੍ਰੀਫਿਕਸ-ਜੋੜੀ ਦੋਵੇਂ ਸੰਰਚਨਾਵਾਂ ਵਿੱਚ ਉਲਟੀ ਦਿਸਦੀ ਹੈ, ਅਤੇ ਇਹ ਸਹੀ ਹੈ, ਵਿਰੋਧਾਭਾਸ ਨਹੀਂ। ਕੰਮ ਕਰਦਾ ਸਮਝੌਤਾ ਕਾਗਜ਼ ਤੇ ਗਲਤ ਦਿਸੇ ਤਾਂ ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਨਜ਼ਰੀਆ ਉਲਟਣਾ ਚਾਹੀਦਾ ਹੈ। ਦੋ ਫਾਈਲਾਂ ਨੂੰ ਉਲਟਾਏ ਬਿਨਾਂ ਨਾਲ-ਨਾਲ ਤੁਲਨਾ ਕਰਨ ਨਾਲ ਉਹ ਅਸੰਗਤੀ ਪੈਦਾ ਹੁੰਦੀ ਹੈ ਜੋ ਹੈ ਹੀ ਨਹੀਂ।

ਮੁੱਲ ਹਮੇਸ਼ਾ ਇੱਕਲੇ ਸਬਨੈੱਟ ਨਹੀਂ ਹੁੰਦੇ। IKEv2 ਸਿਲੈਕਟਰ ਪਤਾ-ਸੀਮਾਵਾਂ, ਪ੍ਰੋਟੋਕਾਲ ਨੰਬਰ ਅਤੇ ਪੋਰਟ-ਸੀਮਾਵਾਂ ਢੋ ਸਕਦੇ ਹਨ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਨੀਤੀ ਪੂਰੇ ਨੈੱਟਵਰਕ ਦੀ ਥਾਂ ਇੱਕ ਸੇਵਾ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ। ਲੋੜੀਂਦੇ ਟ੍ਰੈਫਿਕ ਨਾਲੋਂ ਤੰਗ ਸਿਲੈਕਟਰ ਉਹ ਸੁਰੰਗ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਕੁਝ ਮੰਜ਼ਿਲਾਂ ਢੋਂਦੀ ਹੈ ਅਤੇ ਬਾਕੀਆਂ ਨੂੰ ਚੁੱਪਚਾਪ ਬਾਹਰ ਕਰ ਦਿੰਦੀ ਹੈ।

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਪਾਸੇ ਇੱਕ ਸਾਰਣੀ ਵਿੱਚ ਲਿਖੋ। ਇਹ ਅਭਿਆਸ ਆਮ ਤੌਰ ਤੇ ਸੰਰਚਨਾ ਫਾਈਲ ਨੂੰ ਛੂਹੇ ਬਿਨਾਂ ਹੀ ਸਵਾਲ ਹੱਲ ਕਰ ਦਿੰਦਾ ਹੈ।

ਤੰਗ ਕਰਨਾ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਦਾ ਫੈਸਲਾ ਹੈ

ਸ਼ੁਰੂ ਕਰਨ ਵਾਲਾ ਪ੍ਰਸਤਾਵ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਸਿਰਫ਼ ਇੱਕ ਉਪ-ਸਮੂਹ ਸਵੀਕਾਰ ਕਰ ਸਕਦਾ ਹੈ। IKEv2 ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਨੂੰ ਪੇਸ਼ ਕੀਤੇ ਟ੍ਰੈਫਿਕ ਸਿਲੈਕਟਰ ਤੰਗ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਤੰਗ ਕੀਤਾ ਨਤੀਜਾ ਹੀ ਅਸਲ ਵਿੱਚ ਸਥਾਪਿਤ ਹੁੰਦਾ ਹੈ। ਇਸ ਲਈ ਸ਼ੁਰੂ ਕਰਨ ਵਾਲੇ ਦੀ ਸੰਰਚਨਾ ਪੜ੍ਹਨਾ ਇੱਕ ਪੇਸ਼ਕਸ਼ ਦੱਸਦਾ ਹੈ, ਸਮਝੌਤਾ ਨਹੀਂ।

ਇਸ ਲਈ ਕਲਾਇੰਟ ਵਿੱਚ ਜੋੜਿਆ ਸਬਨੈੱਟ ਕੰਮ ਕਰਦੀ ਸੁਰੰਗ ਬਣਾ ਕੇ ਵੀ ਨਵੀਂ ਮੰਜ਼ਿਲ ਨੂੰ ਰੱਦ ਕਰ ਸਕਦਾ ਹੈ। ਸਰਵਰ ਨੇ ਪੇਸ਼ਕਸ਼ ਨੂੰ ਆਪਣੀ ਨੀਤੀ ਦੀ ਇਜਾਜ਼ਤ ਤੱਕ ਤੰਗ ਕੀਤਾ, ਜਦਕਿ ਕਲਾਇੰਟ ਦੀ ਫਾਈਲ ਅਜੇ ਵੀ ਵਿਆਪਕ ਸੀਮਾ ਦਰਜ ਕਰਦੀ ਹੈ। ਸਿਰਫ਼ ਗੱਲਬਾਤ ਰਾਹੀਂ ਤੈਅ ਸਥਿਤੀ ਹੀ ਸੱਚ ਦਿਖਾਉਂਦੀ ਹੈ: Linux ਉੱਤੇ ip xfrm policy ਅਤੇ strongSwan ਦੇ IKEv2 ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚ child SA ਸੂਚੀ ਮੰਗਿਆ ਨਹੀਂ, ਸਥਾਪਿਤ ਕੀਤਾ ਦੱਸਦੀ ਹੈ। ਜਦੋਂ ਦੋਵੇਂ ਵੱਖ ਹੋਣ, ਤਾਂ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਦੀ ਨੀਤੀ ਬਦਲਣੀ ਚਾਹੀਦੀ ਹੈ।

ਰੱਦ ਕੀਤਾ ਪ੍ਰਸਤਾਵ ਤੰਗ ਕੀਤੇ ਪ੍ਰਸਤਾਵ ਨਾਲੋਂ ਵੱਖਰਾ ਲੱਛਣ ਹੈ। ਰੱਦ ਕਰਨਾ ਗੱਲਬਾਤ ਲੌਗ ਵਿੱਚ ਦਿਸਦਾ ਹੈ ਅਤੇ ਕੋਈ ਵੀ child ਸੰਬੰਧ ਨਹੀਂ ਛੱਡਦਾ।

ਇੱਕ ਮੰਜ਼ਿਲ ਦਾ ਸ਼ੁਰੂ ਤੋਂ ਅੰਤ ਤੱਕ ਪਿੱਛਾ ਕਰੋ

ਕਲਾਇੰਟ ਜੋ ਅਸਲ ਮੰਜ਼ਿਲ ਅਤੇ ਸਰੋਤ ਪਤਾ ਵਰਤੇਗਾ ਉਹ ਚੁਣੋ, ਫਿਰ ਉਸ ਜੋੜੀ ਨੂੰ ਤਿੰਨ ਸੁਤੰਤਰ ਫੈਸਲਿਆਂ ਵਿੱਚੋਂ ਲੰਘਾਓ। ਰੂਟ ਇੱਕ ਰਾਹ ਚੁਣਦਾ ਹੈ, ਸਿਲੈਕਟਰ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਉਹ ਰਾਹ ਸੁਰੱਖਿਅਤ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਫਾਇਰਵਾਲ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਪੈਕੇਟ ਦੀ ਇਜਾਜ਼ਤ ਹੈ ਜਾਂ ਨਹੀਂ। ਹਰ ਇੱਕ ਆਪਣੇ ਆਪ ਫੇਲ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਚੌੜਾ ਸਿਲੈਕਟਰ ਬਾਕੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਵੀ ਠੀਕ ਨਹੀਂ ਕਰਦਾ।

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

ਰੂਟ ਪੁੱਛਗਿੱਛ ਉਸ ਇੰਟਰਫੇਸ ਅਤੇ ਸਰੋਤ ਪਤੇ ਦਾ ਨਾਮ ਦਿੰਦੀ ਹੈ ਜੋ ਪੈਕੇਟ ਢੋਣਗੇ। ਨੀਤੀ ਸੂਚੀ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਉਸ ਜੋੜੀ ਲਈ ਮਿਲਦੀ ਸੁਰੰਗ ਨੀਤੀ ਮੌਜੂਦ ਹੈ ਜਾਂ ਨਹੀਂ, ਉਸ ਦੀ ਦਿਸ਼ਾ ਅਤੇ ਪੱਧਰ ਸਮੇਤ। SA ਸੂਚੀ ਗੱਲਬਾਤ ਰਾਹੀਂ ਤੈਅ child ਸਿਲੈਕਟਰ ਗਿਣਤੀਆਂ ਸਮੇਤ ਦਿਖਾਉਂਦੀ ਹੈ, ਇਸ ਲਈ ਟ੍ਰੈਫਿਕ ਅਜ਼ਮਾਉਣ ਤੋਂ ਬਾਅਦ ਜ਼ੀਰੋ ਪੈਕੇਟ ਵਾਲਾ child ਸੰਬੰਧ ਉਨ੍ਹਾਂ ਸਿਲੈਕਟਰਾਂ ਦੀ ਨਿਸ਼ਾਨੀ ਹੈ ਜੋ ਭੇਜੇ ਜਾ ਰਹੇ ਨੂੰ ਬਾਹਰ ਕਰਦੇ ਹਨ। ਤਿੰਨ ਹੁਕਮ, ਤਿੰਨ ਵੱਖਰੇ ਜਵਾਬ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਚੁੱਪਚਾਪ ਡਿੱਗਣ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ।

ਜੇ ਐਪ ਅਜੇ ਵੀ ਫੇਲ ਹੋ ਰਹੀ ਹੈ ਅਤੇ child ਗਿਣਤੀਆਂ ਹਿਲ ਰਹੀਆਂ ਹਨ, ਤਾਂ ਸਮੱਸਿਆ ਸੁਰੰਗ ਤੋਂ ਪਾਰ ਹੈ। ਇਹ ਜਾਂਚ ਨੂੰ ਸਿਲੈਕਟਰਾਂ ਵੱਲ ਨਹੀਂ, ਦੂਰ ਦੇ ਹੋਸਟ ਦੇ ਸਰੋਤੇ ਜਾਂ ਫਾਇਰਵਾਲ ਵੱਲ ਭੇਜਦਾ ਹੈ।

ਦੋਵੇਂ ਟੀਚੇ ਵੱਖਰੇ ਰੱਖੋ

ਦਫ਼ਤਰੀ ਸਬਨੈੱਟ ਦੀ ਰੱਖਿਆ ਕਰਨਾ ਅਤੇ ਸਾਰੀ ਬ੍ਰਾਊਜ਼ਿੰਗ ਦੂਰ ਦੇ ਨਿਕਾਸ ਰਾਹੀਂ ਭੇਜਣਾ ਵੱਖਰੇ ਸਿਲੈਕਟਰਾਂ ਵਾਲੀਆਂ ਵੱਖਰੀਆਂ ਲੋੜਾਂ ਹਨ। ਇੱਕ ਲਈ ਬਣਾਈ ਪਰੋਫਾਈਲ ਦੂਜੇ ਲਈ ਘੱਟ ਹੀ ਢੁਕਦੀ ਹੈ, ਅਤੇ ਦੋਵਾਂ ਨੂੰ ਮਿਲਾਉਣ ਨਾਲ ਜਾਂ ਤਾਂ ਲੀਕ ਹੁੰਦੀ ਹੈ ਜਾਂ ਟੁੱਟੀ ਵੰਡ। ਬਚਾਈ ਸੀਮਾ ਫੈਲਾਉਣ ਦਾ ਮਤਲਬ ਦੋਵੇਂ ਸਿਰੇ ਅਤੇ ਉਨ੍ਹਾਂ ਦੀ ਅੱਗੇ ਭੇਜਣ ਦੀ ਨੀਤੀ ਬਦਲਣਾ ਹੈ, ਕਿਉਂਕਿ ਇਕ ਪਾਸੜ ਬਦਲਾਅ ਰੱਦ ਕੀਤਾ ਪ੍ਰਸਤਾਵ ਬਣ ਜਾਂਦਾ ਹੈ। ਛੋਟੀ ਸੋਧ ਤੋਂ ਬਾਅਦ ਕੰਮ ਕਰਦੀ ਸੁਰੰਗ ਦੇ ਕੰਮ ਕਰਨਾ ਬੰਦ ਕਰਨ ਦਾ ਇਹੀ ਸਭ ਤੋਂ ਆਮ ਢੰਗ ਹੈ।

ਸਿਲੈਕਟਰ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਕਵਰੇਜ ਦੱਸਦੇ ਹਨ, ਰੂਟ ਰਾਹ ਚੁਣਦੇ ਹਨ, ਅਤੇ ਐਪ ਆਪਣੀਆਂ ਇਜਾਜ਼ਤਾਂ ਲਾਗੂ ਕਰਦੇ ਹਨ। ਸਭ ਕੁਝ ਕਵਰ ਕਰਨ ਵਾਲੀ ਸੁਰੰਗ ਵੀ loopback ਨਾਲ ਬੱਝੀ ਸੇਵਾ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦੀ, ਅਤੇ ਸੁਰੰਗ ਵਿੱਚ ਜਾਣ ਵਾਲੇ ਰੂਟ ਨੂੰ ਅਜੇ ਵੀ ਮੰਜ਼ਿਲ ਸਮੇਤ ਸਿਲੈਕਟਰ ਚਾਹੀਦਾ ਹੈ। ਤਿੰਨੇ ਇੱਕੋ ਟੈਸਟ ਬੇਨਤੀ ਤੇ ਜਾਂਚੋ, ਅਤੇ ਅਸੰਗਤੀ ਆਪਣਾ ਨਾਮ ਆਪ ਬੋਲ ਦੇਵੇਗੀ।