XFRM ਦਾ ਡਿਫ਼ਾਲਟ ਰੂਟ IKE ਅਤੇ ESP ਨੂੰ ਨਿਗਲ ਗਿਆ: ਬਾਹਰੀ ਮਾਰਗ ਰੱਖੋ

ਟ੍ਰੈਫਿਕ ਸੁਰੱਖਿਅਤ ਹੈ, ਟਨਲ ਚੱਲ ਰਿਹਾ ਹੈ, ਅਤੇ ਫਿਰ ਅਗਲੀ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਵਿੱਚ ਇਹ ਮਰ ਜਾਂਦਾ ਹੈ। XFRM ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਜਾਣ ਵਾਲਾ ਡਿਫ਼ਾਲਟ ਰੂਟ ਉਸ ਟ੍ਰੈਫਿਕ ਦਾ ਵਰਣਨ ਕਰਦਾ ਸੀ ਜਿਸਨੂੰ ਤੁਸੀਂ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਚਾਹੁੰਦੇ ਸੀ। ਇਸਨੇ ਸੁਰੱਖਿਆ ਜਾਰੀ ਰੱਖਣ ਲਈ ਲੋੜੀਂਦੇ ਪੈਕਟ ਵੀ ਨਿਗਲ ਲਏ।

ਸ਼ਾਮਲ ਦੋ ਮੰਜ਼ਿਲਾਂ ਆਪਸ ਵਿੱਚ ਬਦਲੀਆਂ ਨਹੀਂ ਜਾ ਸਕਦੀਆਂ। ਰੂਟਿੰਗ ਨੂੰ ਇਹ ਸਪਸ਼ਟ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ।

ਪੀਅਰ ਦੀ ਖੋਜ ਅਸਲ ਵਿੱਚ ਕਿੱਥੇ ਜਾਂਦੀ ਹੈ

ਸਰਗਰਮ ਨਿਯਮ, XFRM ਰੂਟ ਵਾਲੀ ਸਾਰਣੀ ਅਤੇ ਪੀਅਰ ਦਾ ਜਨਤਕ ਪਤਾ ਦਰਜ ਕਰੋ। ਫਿਰ ਦੇਖੋ ਕਿ ਬਾਹਰੀ ਕਨੈਕਸ਼ਨ ਆਪਣੇ ਅਸਲ ਸਰੋਤ ਅਤੇ ਮਾਰਕ ਨਾਲ ਕਿਹੜਾ ਮਾਰਗ ਲਵੇਗਾ। ਆਮ ਮੰਜ਼ਿਲ ਉਸ ਨਿਯੰਤਰਣ ਮਾਰਗ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦੀ। ਸਿਰਫ਼ ਅਸਲ ਸਰੋਤ ਅਤੇ ਮਾਰਕ ਹੀ ਲਾਭਦਾਇਕ ਜਵਾਬ ਦਿੰਦੇ ਹਨ।

ਸਫਲ ਸ਼ੁਰੂਆਤੀ ਕਨੈਕਸ਼ਨ ਵੀ ਬਹੁਤ ਘੱਟ ਸਾਬਤ ਕਰਦਾ ਹੈ। ਰੂਟ ਇੰਸਟਾਲੇਸ਼ਨ ਜਵਾਬ ਬਦਲਣ ਤੋਂ ਬਾਅਦ ਅਸਫਲਤਾ ਅਕਸਰ ਦਿਖਦੀ ਹੈ। ਸ਼ੁਰੂਆਤ ਸਫਲ ਹੁੰਦੀ ਹੈ, ਫਿਰ ਪਹਿਲਾ ਨਵੀਨੀਕਰਨ ਨਹੀਂ।

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

ਜੇ ਪੀਅਰ ਦੀ ਖੋਜ XFRM ਇੰਟਰਫੇਸ ਵਿੱਚ ਖ਼ਤਮ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਬਾਹਰੀ ਪੈਕਟ ਉਸ ਟਨਲ ਵਿੱਚ ਰੂਟ ਹੁੰਦੇ ਹਨ ਜੋ ਉਹ ਖੁਦ ਬਣਾਉਂਦੇ ਹਨ। ਇਹੀ ਲੂਪ ਹੈ, ਇੱਕ ਕਮਾਂਡ ਵਿੱਚ ਦਿਖਦਾ ਹੈ।

ਆਧੁਨਿਕ ਗੇਟਵੇ 'ਤੇ ਬਾਹਰ ਕੱਢਣ ਦੇ ਵਿਕਲਪ

strongSwan ਦੀ ਰੂਟ-ਆਧਾਰਿਤ VPN ਬਾਰੇ ਦਸਤਾਵੇਜ਼ ਦੋ ਵਿਹਾਰਕ ਜਵਾਬ ਦਿੰਦੀ ਹੈ। ਇੱਕ IKE ਅਤੇ ESP ਨੂੰ ਨਿਸ਼ਾਨਿਤ ਕਰਦੀ ਹੈ ਤਾਂ ਜੋ XFRM ਸਾਰਣੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਨ ਵਾਲਾ ਨਿਯਮ ਉਨ੍ਹਾਂ 'ਤੇ ਲਾਗੂ ਨਾ ਹੋਵੇ। ਦੂਜੀ ਪੀਅਰ ਮਾਰਗ ਜਾਂ ਬਾਹਰ ਕੱਢਣ ਛੱਡਦੀ ਹੈ ਜਿੱਥੇ ਖੋਜ ਅਜੇ ਪਹੁੰਚ ਸਕਦੀ ਹੈ।

ਉਹ ਚੁਣੋ ਜੋ ਤੁਹਾਡਾ ਨਿਯਮ-ਸਮੂਹ ਬਿਨਾਂ ਮਾੜੇ ਪ੍ਰਭਾਵਾਂ ਦੇ ਪ੍ਰਗਟ ਕਰ ਸਕਦਾ ਹੈ। ਮਾਰਕ ਉਦੋਂ ਸਾਫ਼ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਬਾਕੀ ਸਟੈਕ ਪਹਿਲਾਂ ਹੀ ਮਾਰਕ ਵਰਤਦਾ ਹੈ। ਇਹ ਖ਼ਤਰਾ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਉਹੀ ਮਾਸਕ ਕਿਸੇ ਹੋਰ ਨਿਯਮ ਵਿੱਚ ਕੁਝ ਹੋਰ ਅਰਥ ਰੱਖਦਾ ਹੈ। ਦੋਵੇਂ ਕਿਸਮ ਦੇ ਪੈਕਟਾਂ ਨੂੰ ਕਿਸੇ ਵੀ ਤਰ੍ਹਾਂ ਇਹ ਇਲਾਜ ਚਾਹੀਦਾ ਹੈ।

ਸਿਰਫ਼ IKE ਨੂੰ ਨਿਸ਼ਾਨਿਤ ਕਰਨ ਨਾਲ ਡੇਟਾ ਪੈਕਟ ਫੜੇ ਗਏ ਮਾਰਗ 'ਤੇ ਹੀ ਰਹਿੰਦੇ ਹਨ। ਇਸ ਨਾਲ ਅਜਿਹੀ ਟਨਲ ਬਣਦੀ ਹੈ ਜੋ ਹੈਂਡਸ਼ੇਕ ਕਰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਕੁਝ ਵੀ ਨਹੀਂ ਢੋਂਦੀ।

ਮਾਰਕ ਪੈਕਟ ਦੇ fwmark ਵਿੱਚ ਇੱਕ ਬਿੱਟ ਹੈ ਜਿਸ 'ਤੇ ਗੇਟਵੇ 'ਤੇ ਹੋਰ ਕੋਈ ਦਾਅਵਾ ਨਹੀਂ ਕਰਦਾ: ਮਾਸਕ 0x1 ਨਾਲ 0x1 ਆਮ ਚੋਣ ਹੈ, ਅਤੇ ਬਾਹਰ ਕੱਢਣ ਕੰਮ ਕਰੇ ਇਸ ਲਈ ਇਸਨੂੰ ਦੋ ਥਾਵਾਂ 'ਤੇ ਸੈੱਟ ਕਰਨਾ ਪੈਂਦਾ ਹੈ। Charon ਨੂੰ ਇਹ IKE ਸਾਕਟ 'ਤੇ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਚਾਈਲਡ ਕਨੈਕਸ਼ਨ ਦੀਆਂ ਇਨਬਾਊਂਡ ਅਤੇ ਆਊਟਬਾਊਂਡ ਮਾਰਕ ਸੈਟਿੰਗਾਂ ਨੂੰ ਉਹੀ ਮੁੱਲ ਚਾਹੀਦਾ ਹੈ ਤਾਂ ਜੋ ਐਨਕੈਪਸੁਲੇਟਿਡ ਪੈਕਟ ਵੀ ਮਾਰਕ ਹੋ ਕੇ ਬਾਹਰ ਜਾਣ। 0xffffffff ਦੀ ਥਾਂ 0x1 ਮਾਸਕ ਬਾਕੀ ਬਿੱਟ ਖੁੱਲ੍ਹੇ ਛੱਡਦਾ ਹੈ, ਜੋ ਤਦ ਮਹੱਤਵਪੂਰਨ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਕੋਈ ਹੋਰ ਸਬਸਿਸਟਮ ਉਸੇ ਹੋਸਟ 'ਤੇ ਪਹਿਲਾਂ ਹੀ ਪੈਕਟ ਮਾਰਕ ਕਰਦਾ ਹੈ। ਦੋਵੇਂ ਸੈੱਟ ਹੋਣ 'ਤੇ ਨਿਯਮ ਬਾਹਰ ਕੱਢਣ ਵਜੋਂ ਲਿਖਿਆ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਮਾਰਕ ਕੀਤੇ ਪੈਕਟ XFRM ਰੂਟ ਵਾਲੀ ਸਾਰਣੀ ਛੱਡ ਕੇ ਮੁੱਖ ਸਾਰਣੀ ਵਿੱਚ ਡਿੱਗਦੇ ਹਨ:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

ਫਿਰ ਮਾਰਕ ਲਾਗੂ ਕਰਕੇ ਜਵਾਬ ਪੜ੍ਹੋ। ਇਸ ਤੋਂ ਬਿਨਾਂ ਤੁਸੀਂ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਦੇ ਮਾਰਗ ਦੀ ਜਾਂਚ ਕਰਦੇ ਹੋ, ਜੋ ਇਸ ਭਾਗ ਦੇ ਸਵਾਲ ਦਾ ਉਲਟ ਹੈ।

ਸਵੈਚਾਲਿਤ ਇੰਸਟਾਲੇਸ਼ਨ ਬਿਲਡ ਬਾਰੇ ਕੀ ਮੰਨਦਾ ਹੈ

XFRM ਇੰਟਰਫੇਸ ਲਈ ਸਵੈਚਾਲਿਤ ਰੂਟ ਇੰਸਟਾਲੇਸ਼ਨ strongSwan ਸੰਸਕਰਣ ਅਤੇ ਉਸਦੀ ਸੰਰਚਨਾ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਇੰਟਰਫੇਸ ID, ਇੰਸਟਾਲ ਕੀਤੀ ਨੀਤੀ ਅਤੇ ਐਸੋਸੀਏਸ਼ਨ—ਸਾਰਿਆਂ ਨੂੰ ਇੱਛਤ ਵਸਤੂਆਂ ਦਾ ਹਵਾਲਾ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ। ਅਸੰਗਤੀ ਅਜਿਹੇ ਰੂਟ ਵਜੋਂ ਦਿਖਦੀ ਹੈ ਜੋ ਚੁੱਪਚਾਪ ਕਿਤੇ ਅਸਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।

ਦੂਜੇ ਗੇਟਵੇ ਤੋਂ ਸਾਰਣੀ ਨੰਬਰ ਜਾਂ ਮਾਰਕ ਮਾਸਕ ਕਾਪੀ ਕਰਨਾ ਹੀ ਟਕਰਾਅ ਸ਼ੁਰੂ ਹੋਣ ਦਾ ਤਰੀਕਾ ਹੈ। ਪਹਿਲਾਂ ਜਾਂਚੋ ਕਿ ਇਸਨੂੰ ਪਹਿਲਾਂ ਹੀ ਕੀ ਵਰਤਦਾ ਹੈ। ਟਕਰਾਅ ਤੁਸੀਂ ਬਦਲਣਾ ਚਾਹੁੰਦੇ ਸੀ ਉਸ ਟਨਲ ਤੋਂ ਬਹੁਤ ਦੂਰ ਦੇ ਟ੍ਰੈਫਿਕ 'ਤੇ ਅਸਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਲੱਛਣ ਘੱਟ ਹੀ ਕਾਪੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।

ਪੀਅਰ ਪਤੇ ਦੇ ਬਦਲਾਅ ਡਿਜ਼ਾਈਨ ਦਾ ਹਿੱਸਾ ਹਨ। ਕੱਲ੍ਹ ਦੇ ਪਤੇ ਲਈ ਹੋਸਟ ਰੂਟ ਐਂਡਪੌਇੰਟ ਰਿਕਵਰੀ ਯੋਜਨਾ ਨਹੀਂ ਹੈ, ਜਦੋਂ ਕਿ ਮਾਰਕ ਉਸ ਬਦਲਾਅ ਨੂੰ ਸਹਿੰਦਾ ਹੈ।

ਪਹਿਲੇ ਨਵੀਨੀਕਰਨ 'ਤੇ ਨਜ਼ਰ ਰੱਖੋ

ਸੁਰੱਖਿਅਤ ਰੂਟ ਇੰਸਟਾਲ ਹੋਣ ਤੋਂ ਬਾਅਦ ਬਾਹਰੀ ਮਾਰਗ ਜਾਂਚੋ, ਪਹਿਲਾਂ ਨਹੀਂ। ਫਿਰ ਅਗਲੇ ਨਵੀਨੀਕਰਨ ਅਤੇ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਵਟਾਂਦਰੇ 'ਤੇ ਨਜ਼ਰ ਰੱਖੋ। ਅਸਫਲਤਾ ਆਮ ਤੌਰ 'ਤੇ ਉਸੇ ਤਬਦੀਲੀ ਵਿੱਚ ਦਿਖਦੀ ਹੈ, ਸ਼ੁਰੂਆਤ ਵਿੱਚ ਨਹੀਂ।

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

ਸੁਰੱਖਿਅਤ ਡਿਫ਼ਾਲਟ ਨੂੰ ਅਸਥਾਈ ਤੌਰ 'ਤੇ ਹਟਾਉਣ ਨਾਲ ਆਮ ਤੌਰ 'ਤੇ ਕਨੈਕਟਿਵਿਟੀ ਵਾਪਸ ਆ ਜਾਂਦੀ ਹੈ। ਉਹ ਨਤੀਜਾ ਨਿਦਾਨਕ ਹੈ, ਅੰਤਿਮ ਨਹੀਂ।

ਟੀਚਾ ਹੈ ਅੰਦਰੂਨੀ ਟ੍ਰੈਫਿਕ ਅਤੇ ਉਸਨੂੰ ਢੋਣ ਵਾਲੇ ਬਾਹਰੀ ਪੈਕਟਾਂ ਵਿਚਕਾਰ ਸਥਿਰ ਵੰਡ। ਚੁਣੀ ਗਈ ਵਿਧੀ ਅਤੇ ਉਸਦੀ ਸਾਰਣੀ ਜਾਂ ਮਾਰਕ ਗੇਟਵੇ ਦੇ ਨੋਟਾਂ ਵਿੱਚ ਲਿਖੋ। ਨਹੀਂ ਤਾਂ ਨਿਯਮਾਂ ਨੂੰ ਛੂਹਣ ਵਾਲਾ ਅਗਲਾ ਵਿਅਕਤੀ ਲੂਪ ਦੁਬਾਰਾ ਲਿਆਵੇਗਾ।