IPsec ਸੁਰੱਖਿਆ ਨੀਤੀ ਰੂਟ ਟੇਬਲ ਦੀ ਐਂਟਰੀ ਕਿਉਂ ਨਹੀਂ ਹੈ

ਟਨਲ ਰਾਹੀਂ 10.20.0.5 'ਤੇ ping ਕਰੋ ਅਤੇ ਕੁਝ ਵੀ ਵਾਪਸ ਨਹੀਂ ਆਉਂਦਾ, ਜਦਕਿ ਰੂਟ ਟੇਬਲ ਦਾਅਵਾ ਕਰਦਾ ਹੈ ਕਿ ਉਹ ਸਬਨੈੱਟ ਪਹੁੰਚਯੋਗ ਹੈ। ਰੂਟਿੰਗ ਅਤੇ IPsec ਵੱਖਰੇ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਪਹੁੰਚ ਬਾਰੇ ਹੈ। ਫਾਰਵਰਡ ਲੁੱਕਅੱਪ ਇੱਕ ਰਾਹ ਚੁਣਦਾ ਹੈ, ਫਿਰ ਸੁਰੱਖਿਆ ਨੀਤੀ ਡੇਟਾਬੇਸ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਉਸ ਰਾਹ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਹੈ, ਉਵੇਂ ਹੀ ਛੱਡਣਾ ਹੈ ਜਾਂ ਰੱਦ ਕਰਨਾ ਹੈ। ਜਦੋਂ ਦੋਵੇਂ ਸਹਿਮਤ ਨਹੀਂ ਹੁੰਦੇ, ਪੈਕੇਟ ਚੁੱਪਚਾਪ ਮਰ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਉਨ੍ਹਾਂ ਨੂੰ ਉਸੇ ਕ੍ਰਮ ਵਿੱਚ ਪੜ੍ਹੋ।

ਟੇਬਲ ਨਾਲ ਨਹੀਂ, ਲੁੱਕਅੱਪ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ

ਕਰਨਲ ਨੂੰ ਪੁੱਛੋ ਕਿ ਇਹ ਅਸਲ ਵਿੱਚ ਕੀ ਕਰੇਗਾ: ip route get 10.20.0.5 ਚੁਣਿਆ ਰੂਟ, ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਇੰਟਰਫੇਸ ਅਤੇ ਉਹ ਸਰੋਤ ਪਤਾ ਛਾਪਦਾ ਹੈ ਜੋ ਇਹ ਵਰਤੇਗਾ। ਪ੍ਰੀਫਿਕਸ, ਨੀਤੀ ਨਿਯਮ, ਮਾਰਕ ਜਾਂ ਪਸੰਦੀਦਾ ਸਰੋਤ ਇਹ ਸਾਰੇ ਜਵਾਬ ਬਦਲ ਸਕਦੇ ਹਨ, ਇਸ ਲਈ ਜੀਵਤ ਲੁੱਕਅੱਪ ਅੱਖ ਨਾਲ ਟੇਬਲ ਪੜ੍ਹਨ ਤੋਂ ਵਧੀਆ ਹੈ।

ਸੁਰੱਖਿਅਤ ਰੇਂਜ ਦੇ ਅੰਦਰਲੀ ਮੰਜ਼ਿਲ ਦੀ ਜਾਂਚ ਕਰੋ, ਗੇਟਵੇ ਪਤਾ ਨਹੀਂ। ਪਾਰਲੇ ਗੇਟਵੇ ਤੱਕ ਪਹੁੰਚਣਾ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਕੋਈ ਰੂਟ ਹੈ; ਇਹ ਉਸ ਸਬਨੈੱਟ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ ਜੋ ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਚਾਹੀਦਾ ਹੈ। ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਲੁੱਕਅੱਪ ਵੱਲੋਂ ਚੁਣਿਆ ਇੰਟਰਫੇਸ ਉਹੀ ਹੈ ਜਿਸ ਨੂੰ ਟਨਲ ਵਰਤੇਗਾ।

ਦੋਵੇਂ ਪਾਸਿਆਂ 'ਤੇ ਚੋਣਕਾਰ ਮਿਲਾਓ

ਨੀਤੀ ਡੇਟਾਬੇਸ ਦੀਆਂ ਆਪਣੀਆਂ ਐਂਟਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ, ਅਤੇ ਹਰ ਇੱਕ ਦਿਸ਼ਾ, ਸਰੋਤ, ਮੰਜ਼ਿਲ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਦੱਸ ਕੇ, ਮਿਲਦੇ ਪੈਕਟਾਂ ਨਾਲ ਕੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਦੱਸਦੀ ਹੈ। ਉਨ੍ਹਾਂ ਦੀ ਸੂਚੀ ਲਈ ip xfrm policy ਵਰਤੋ; ਝੰਡੇ ਦੱਸਦੇ ਹਨ ਕਿ ਕਾਰਵਾਈ ਸੁਰੱਖਿਆ ਹੈ, ਬਾਈਪਾਸ ਹੈ ਜਾਂ ਬਲਾਕ ਹੈ। ਜਿਸ ਨੀਤੀ ਦੇ ਚੋਣਕਾਰ ਤੁਹਾਡੇ ਟੈਸਟ ਫਲੋ ਤੋਂ ਚੌੜੇ ਜਾਂ ਤੰਗ ਹਨ ਉਹ ਇਸ ਨਾਲ ਨਹੀਂ ਮਿਲੇਗੀ, ਅਤੇ ਪੈਕੇਟ ਅਸੁਰੱਖਿਅਤ ਬਾਹਰ ਚਲਾ ਜਾਂਦਾ ਹੈ। ਤੁਸੀਂ ਜਿਹੜੀ ਖਰਾਬੀ ਲੱਭ ਰਹੇ ਹੋ ਉਹ ਇਹੀ ਹੈ, ਗੁੰਮ ਰੂਟ ਨਹੀਂ।

ਅਸਲ ਮੁੱਲਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ: ਸਰੋਤ, ਮੰਜ਼ਿਲ, ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਪੋਰਟ। ਜੇ ਲੁੱਕਅੱਪ ਨੇ ਇੱਕ ਪਤਾ ਜੋੜੀ ਹੱਲ ਕੀਤੀ ਜਦਕਿ ਨੀਤੀ ਐਂਟਰੀ ਦੂਜੀ ਕਵਰ ਕਰਦੀ ਹੈ, ਤਾਂ ਦੋਵੇਂ ਦ੍ਰਿਸ਼ ਵੱਖਰੀ ਟ੍ਰੈਫਿਕ ਦੱਸਦੇ ਹਨ। ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਨੂੰ ਉਸੇ ਟਿਊਪਲ ਨਾਲ ਦੁਬਾਰਾ ਚਲਾਓ, ਨਹੀਂ ਤਾਂ ਤੁਸੀਂ ਉਹ ਨੀਤੀ ਸੋਧੋਗੇ ਜੋ ਕਦੇ ਰਾਹ ਵਿੱਚ ਨਹੀਂ ਸੀ।

ਨੀਤੀ ਦਾ ਮੇਲ ਹੋਣਾ ਸਥਾਪਿਤ ਸਥਿਤੀ ਨਹੀਂ ਹੈ

ਮਿਲਦੀ ਨੀਤੀ ਸਿਰਫ਼ ਕਹਿੰਦੀ ਹੈ ਕਿ ਪੈਕੇਟ ਸੁਰੱਖਿਅਤ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ; ਸੁਰੱਖਿਆ ਕਰਨ ਲਈ ਕਰਨਲ ਨੂੰ ਅਜੇ ਵੀ ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨ ਚਾਹੀਦੀ ਹੈ। ਉਨ੍ਹਾਂ ਨੂੰ ip xfrm state ਨਾਲ ਸੂਚੀਬੱਧ ਕਰੋ, ਜਾਂ ਜਦੋਂ strongSwan ਗੱਲਬਾਤ ਕਰੇ ਤਾਂ swanctl --list-sas ਨਾਲ, ਅਤੇ ਹਰ ਐਂਟਰੀ ਦੇ ਚੋਣਕਾਰ ਅਤੇ ਕਾਊਂਟਰ ਪੜ੍ਹੋ।

ਜਦੋਂ ਨੀਤੀ ਮਿਲਦੀ ਹੈ ਅਤੇ ਕੋਈ ਐਸੋਸੀਏਸ਼ਨ ਉਹੀ ਚੋਣਕਾਰ ਕਵਰ ਨਹੀਂ ਕਰਦੀ, ਪੈਕੇਟ ਸਾਫ਼ ਟੈਕਸਟ ਵਿੱਚ ਭੇਜਣ ਦੀ ਬਜਾਏ ਸੁੱਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਟਨਲ ਚਾਲੂ ਹੋਣ 'ਤੇ ਵੀ ਇੱਕ ਸਬਨੈੱਟ ਫੇਲ੍ਹ ਹੋਣ ਵੇਲੇ ਜਿਹੜਾ ਡ੍ਰਾਪ ਲੱਭਣਾ ਹੁੰਦਾ ਹੈ ਉਹ ਇਹੀ ਹੈ। ਕਾਊਂਟਰ ਬਾਕੀ ਦੱਸਦੇ ਹਨ: ਜੋ ਐਸੋਸੀਏਸ਼ਨ ਕਦੇ ਨਹੀਂ ਵਧਦੀ ਉਹ ਕਦੇ ਚੁਣੀ ਨਹੀਂ ਗਈ, ਜਦਕਿ ਜੋ ਵਧਦੀ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਡ੍ਰਾਪ 'ਤੇ ਖ਼ਤਮ ਹੁੰਦੀ ਹੈ ਉਹ ਦੂਰ ਦੇ ਪਾਸੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ। ਚੋਣਕਾਰ ਠੀਕ ਕਰਨਾ ਅਤੇ ਕੁੰਜੀਆਂ ਨਵੀਆਂ ਕਰਨਾ ਵੱਖਰੀਆਂ ਮੁਰੰਮਤਾਂ ਹਨ, ਇਸ ਲਈ ਕਨਫਿਗਰੇਸ਼ਨ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਕਿਹੜੀ ਚਾਹੀਦੀ ਹੈ।

ਰੂਟ-ਆਧਾਰਿਤ ਟਨਲ ਨੂੰ ਅਜੇ ਵੀ ਕੀ ਚਾਹੀਦਾ ਹੈ

XFRM ਇੰਟਰਫੇਸ ਟਨਲ ਨੂੰ ਅਜਿਹੇ ਜੰਤਰ ਵਾਂਗ ਦਿਖਾਉਂਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਤੁਸੀਂ ਰੂਟ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਸੱਚਮੁੱਚ ਲਾਹੇਵੰਦ ਹੈ। ਇਹ ਉਸ ਨੀਤੀ ਅਤੇ ਸਥਿਤੀ ਨੂੰ ਨਹੀਂ ਹਟਾਉਂਦਾ ਜੋ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਪੈਕੇਟ ਉੱਥੇ ਪਹੁੰਚਣ ਤੋਂ ਬਾਅਦ ਕੀ ਹੋਵੇਗਾ। ਰੂਟ ਸਿਰਫ਼ ਅਗਲਾ ਹੌਪ ਦਿੰਦਾ ਹੈ, ਇਸ ਤੋਂ ਵੱਧ ਨਹੀਂ।

ਜੇ ਜੰਤਰ ਮੌਜੂਦ ਹੈ ਅਤੇ ਰੂਟ ਉਸ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ ਜਦਕਿ ਕੋਈ ਐਸੋਸੀਏਸ਼ਨ ਅੰਦਰਲੇ ਚੋਣਕਾਰਾਂ ਨਾਲ ਨਹੀਂ ਮਿਲਦੀ, ਤਾਂ ਪੈਕੇਟ ਰੱਦ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਕਿੰਨਾ ਵੀ ਰੂਟ ਸੋਧੋ ਕੁੰਜੀਆਂ ਜਾਂ ਚੋਣਕਾਰ ਪੈਦਾ ਨਹੀਂ ਹੁੰਦੇ। ਇੰਟਰਫੇਸ ਨੂੰ ਉਸੇ ਸਰੋਤ ਅਤੇ ਮੰਜ਼ਿਲ ਨਾਲ ਜਾਂਚੋ ਜੋ ਤੁਸੀਂ ਰੂਟ ਕੀਤੇ ਸਨ, ਫਿਰ ਇਸ ਦੀ ਸਥਿਤੀ ਸੂਚੀ ਨਾਲ ਤੁਲਨਾ ਕਰੋ।

ਕੁਝ ਵੀ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਮਾਲਕੀਅਤ ਤੈਅ ਕਰੋ

ਹੋਸਟ ਫਾਇਰਵਾਲ ਤੀਜਾ ਫੈਸਲਾ ਜੋੜਦਾ ਹੈ ਜੋ ਦੋਵੇਂ ਡੇਟਾਬੇਸ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਨਹੀਂ ਪਤਾ। ਸਹੀ ਰੂਟ ਅਤੇ ਮਿਲਦੀ ਨੀਤੀ ਅਤੇ ਸਥਾਪਿਤ ਐਸੋਸੀਏਸ਼ਨ ਫਿਰ ਵੀ ਸੁੱਟੇ ਪੈਕੇਟ 'ਤੇ ਖ਼ਤਮ ਹੋ ਸਕਦੇ ਹਨ, ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸਿਰਫ਼ ਟਾਈਮਆਊਟ ਦੱਸਦੀ ਹੈ। IPsec ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਫਾਇਰਵਾਲ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਟਨਲ ਜੰਤਰ ਅਤੇ ਭੌਤਿਕ ਇੰਟਰਫੇਸ 'ਤੇ ਕੈਪਚਰ ਕਰਨ ਨਾਲ ਪਤਾ ਲੱਗਦਾ ਹੈ ਕਿ ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੇ ਕਿਸ ਪਾਸੇ ਪੈਕੇਟ ਗਾਇਬ ਹੋਇਆ।

ਕਨਫਿਗਰੇਸ਼ਨ ਦੀ ਮਾਲਕੀਅਤ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਤੁਹਾਡਾ ਸੁਧਾਰ ਰੀਸਟਾਰਟ ਤੋਂ ਬਾਅਦ ਬਚੇਗਾ ਜਾਂ ਨਹੀਂ। ਇੱਕ ਹਿੱਸਾ ਸਥਿਤੀ ਸਥਾਪਿਤ ਕਰ ਸਕਦਾ ਹੈ ਜਦਕਿ ਦੂਜਾ ਰੂਟ ਸੰਭਾਲਦਾ ਹੈ, ਅਤੇ ਦੂਜੇ 'ਤੇ ਹੱਥ ਨਾਲ ਕੀਤੀ ਸੋਧ ਟਨਲ ਅਗਲੀ ਵਾਰ ਉੱਪਰ ਆਉਣ 'ਤੇ ਮਿਟਾ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਮਾਲਕ ਕਨਫਿਗਰੇਸ਼ਨ ਬਦਲੋ, ਫਿਰ ਦੋਵੇਂ ਦ੍ਰਿਸ਼ ਦੁਬਾਰਾ ਪੜ੍ਹੋ; RFC 4301 ਇਹ ਵੰਡ ਕਿਸੇ ਹੋਰ ਨੂੰ ਸਮਝਾਉਣੀ ਪਵੇ ਤਾਂ ਦੋਵੇਂ ਡੇਟਾਬੇਸ ਵੱਖਰੇ ਰੱਖਦਾ ਹੈ।