د IPsec پالیسي ستاسو محلي ترافیک تېروي: څنګه یې وپېژنو

د مېز پر سر پرنټر هغه شیبه چې تونل پورته کېږي ځواب ورکول بندوي، او د تونل په ترتیباتو کې پرنټر هیڅ نه یادېږي۔ معمولاً دا پېښ شوي چې یوه ساتل شوې ساحه دومره پراخه لیکل شوې چې هغه هم پکې شامل شي، نو ماشین اوس هڅه کوي هغه ترافیک کوډ کړي چې باید په محلي برخه کې پاتې شوی وای۔ د نصب شوې پالیسي لوستل دا نیول تشریح کوي؛ په سم ځای کې یې محدودول لرې ترافیک ساتل شوی ساتي۔ له ناکامې غوښتنې څخه تر سمون پالیسۍ پورې سفر څو دقیقې نیسي۔

له ټاکني بدلولو دمخه بهیر تعقیب کړئ

له ناکامې غوښتنې پیل کړئ او څلور ارزښتونه ولیکئ: هغه سرچینه پته چې ماشین کاروي، دقیق هدف، هغه لار چې کرنل غوره کوي، او هغه پالیسي چې دې جوړې سره سمون لري۔

دا څلور حقیقتونه پرېکړه کوي چې نیول قصداً دي که ناڅاپي۔ هغه هدف چې د لرې ټاکني دننه راځي د ډیزاین له مخې ساتل کېږي، که ډیزاین غلط هم وي۔ هغه هدف چې له هغې بهر وي او بیا هم نیول کېږي معنې دا ده چې بل څه سمون لري، او ټاکني بدلول به مرسته ونه کړي۔ دواړه حالتونه عام دي، او یوه کمان دوی بېلوي۔

دا کار له هر څه سمولو دمخه وکړئ، ځکه په زړه پورې حالت هغه محلي فرعي شبکه ده چې د اړیکې له خوا د ساتل شوې شخصي ساحې سره یو ځای کېږي۔ د 192.168.0.0/16 په څېر پېژندل شوي مختګونه په ډېرو شبکو کې ښکاري، او د هغوی لپاره لیکل شوې ټاکنی کولای شي ستاسو په خاموشۍ پوښي۔

د محلي درې ډوله چې بېلابېل چلند کوي

دې کوربه ته ټاکل شوی هدف، په همدې اړیکه کې هدف او د بل انټرفېس شاته هدف درې بېل حالتونه دي۔ کرنل هر یو ته بېلابېل چلند کوي کله چې پرېکړه کوي چې ترافیک محافظت ته اړتیا لري که نه۔

هغه ترافیک چې ګېټوې خود تولیدوي هم هغه ترافیک نه دی چې له پیرودونکي څخه لېږل کېږي۔ هغه پالیسي چې د لېږل شوي ترافیک لپاره سمه ښکاري کولای شي د ګېټوې خپله اداره سېشن ونیسي، او په دې توګه مدیر د تونل د سمولو پر مهال لاسرسی له لاسه ورکوي۔

ګټوره عادت دا ده چې حالت په لوړ غږ ونوموو: ایا دا کڅوړه زما له خوا راځي، زما اړیکې ته ځي که زما له لارې تېرېږي؟ هر ځواب محدودولو لپاره بېل ځای ته اشاره کوي۔ حالت لیکل هم بل کس ته نه پرېږدي چې همدا کار بیا وکړي۔

کله چې ساتل شوې ساحه ټوله یوه شخصي فضا وي، درې واړه حالتونه کولای شي یو ځای پکې راشي، او نښه هغه ماشین شي چې د تونل له پای ټکي پرته بل هیچې ته نه رسېږي۔

نصب شوې پالیسي ولولئ، نه دوتنه

د ترتیباتو دوتنې نیت بیانوي؛ کرنل هغه پالیسۍ ساتي چې واقعاً سمون لري۔ دواړه وښایاست او ناسمون د لومړنۍ موندنې په توګه ونیسئ۔

دا کمانونه هدف ته غوره شوې لار او په هر لوري کې نصب شوې پالیسۍ ښیي:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

لار وایي چې کڅوړه به کوم انټرفېس کاروي۔ د پالیسیو لړلیک وایي چې ایا بیا پر هغې کڅوړه کومه نمونه تطبیقېږي، او د اړیکو لړلیک ښیي چې ډیمون کومې ټاکنې نصب شوې ګڼي۔ که هدف په لرې ټاکني کې ښکاره شي، تاسو نیول پرته له اټکل موندلي۔

ټاکنی محدوده کړئ یا هدف ته له لارې تېر شئ

دوه ملاتړ شوي ترمیمونه شته او دوی بېلو پوښتنو ته ځواب وایي۔ د ټاکني محدودول وایي چې دا اړیکه یوازې کوچنۍ ساحه ساتي، کوم چې سم دی کله چې پراخه ساحه تېروتنه وه۔ د لارې تېرېدو زیاتول وایي چې دا ځانګړی هدف باید هېڅکله ونه ساتل شي، کوم چې سم دی کله چې ساتل شوې ساحه واقعاً پراخه وي او یو هدف استثنا وي۔

لومړنی غوره کړئ کله چې شئ، ځکه کوچنۍ ټاکنی پرې فکر کول اسان دي او د اړیکې په تعریف کې ښکاري۔ دویم غوره کړئ کله چې پراخه ساحه قصداً وي او استثنا یو کوربه یا فرعي شبکه وي چې نوم یې اخیستلای شئ۔

دواړه هغه ترتیباتو پورې اړه لري چې اړیکه یې لري۔ په لاس زیات شوی د اجرا وخت قاعده په راتلونکي بیا اړیکه کې ورکېږي، او خرابي هغه شیبه راګرځي چې هیچا موقتي حل نه یادېږي۔

له بیا نصبولو ساتل شوې استثناوې

له بدلون وروسته هماغه بې ضرره غوښتنه تکرار کړئ او هماغه شمارونکي وګورئ۔ محلي هدف باید ځواب ووایي، او پام شوی لرې هدف باید لا هم کوډ شوی ترافیک وښیي۔

دا دوه کتنې تاییدوي چې استثنا ژوندی پاتې شو او محافظت نه:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

بیا تونل قصداً قطع او بیا وصل کړئ، او دواړه تکرار کړئ۔ هغه استثنا چې له بیا وصلېدو دمخه کار کوي او وروسته ناکامېږي په غلط پوړ کې تطبیق شوې، او دا د دې ستونزې د راګرځېدو تر ټولو عامه لار ده۔