څو فرعي شبکو والا IPsec د بېرته راستنېدونکي ټرافیک ضایع کوي؟ reqid وشمېرئ

ټرافیک له یوې سیمې وځي او هېڅکله نه راګرځي، دواړه دروازې د بشپړې شوې خبرو اترو راپور ورکوي، او یوازینی نښه د بې ځوابه وتونکو بستونو غونډ دی. په لینکس پای نقطه کې معمول لامل د کوډ کولو ځواک، MTU یا د لارښوونې جدول نه دی. دا د پالیسۍ ننوتلو نرۍ والی او هغه شمېره ده چې هر پالیسي له یوې امنیتي ټولنې سره نښلوي. لاندې تګلاره دا دواړه ډیټابیسونه لوستي مخکې له دې چې بل څه ته لاس ووهي.

نښه جلا کړئ مخکې له دې چې هر څه بدل کړئ

د بشپړې شوې IKE خبرو اترو سره یو اړخیزه ناکامي ستونزه د ډیټا لارې ته محدودوي. یا وتونکې پالیسي سمه وه او ځواب رد شو، یا ځواب هېڅکله ونه رسېد ځکه چې بل لوري د هغه د لېږلو څه نه درلودل. له یوې اپلیکیشن څخه دواړه یو شان ښکاري، او xfrm ډیټابیسونه دوی توپیروي.

له MTU پیل مه کوئ. ناسم MTU د بندښت او ټوټه کېدو نښې تولیدوي، نه د لوري پاکه وېشنه د لوړېدونکو وتونکو شمېرونکو سره.

د پالیسۍ ډیټابیس او د حالت ډیټابیس ولولئ

په لینکس کې کوډ کول د پالیسۍ ننوتنې فیصله کوي، نو سمه پالیسي، نه لار، بسته ټونل ته ننباسي. ip xfrm policy وچلوئ ترڅو د هر ننوتنې ټاکونکي، لوری، لومړیتوب او کالبد ووینئ، او ip xfrm state ترڅو جوړې شوې ټولنې د هغوی له reqid سره ووینئ. پالیسي او ټولنه په همدې reqid نښلول کېږي.

درې لوري وګورئ. وتونکی او راغونکی د دې کوربه ته او ترې ټرافیک پوښي؛ د لېږلو لوری هغه وخت مهم دی چې کوربه د نورو لپاره لارښوونه کوي. په یوه لوري کې ورک یا ناسم ننوتون د کوم کوډ کولو نیمګړتیا پرته یو اړخیزه پایله تشریح کوي.

کلاسیکه نابرابري: یو reqid د څو فرعي شبکو لپاره

یوه عامه ناکامي له هغه سیال څخه راځي چې د ټولو موافقه شوو فرعي شبکو پالیسۍ د یو reqid لاندې نصبوي، چې د racoon generate_policy require سره پېښېږي. ټرافیک بیا د هغې ټولنې له لارې وځي چې وروستی جوړه شوې، په داسې حال کې چې بل لوری د هرې فرعي شبکې لپاره جلا ټولنه ساتي. ځوابونه هغې ټولنې ته رسېږي چې reqid یې هغه پالیسي نه ښیي چې باید دوی ومني، او کرنل له ډیکرېپشن وروسته دوی غورځوي.

سمون د ترتیب بدلون دی، نه د اور دېوال قاعده: generate_policy unique; هرې پالیسۍ خپل reqid ورکوي، نو د سیال د هرې پالیسۍ ټولنې سم سیالان لري. هغه پلي کړئ، بیا خبرې اترې وکړئ، او مخکې له دې چې بریا اعلان کړئ د تمه شوو فرعي شبکو بېلابېل reqid وشمېرئ.

که دوه فرعي شبکې لا هم یو reqid شریکوي په داسې حال کې چې بل لوری دوه تمه لري، تاسو نابرابري موندلې. نقشه ثبت کړئ، ځکه دا هغه شاهد دی چې بل بدلون یې سم کړ یا یې وساته.

ټاکونکي له خبرو اترو راځي، نه ستاسو له ترتیبه

ساتل شوې سیمې هغه دي چې دواړو سرونو پرې موافقه کړې، نه هغه چې یو لوري غوښتې. هغه کلاینټ چې یوه جوړه کوربه د پراخې لرې سیمې پر وړاندې وړاندیز کوي د دروازې تنګه نسخه ترلاسه کوي، او کلاینټ نشي کولی پراخه یې کړي. نصب شوي ټاکونکي ولولئ نه هغه چې ستاسو په ځایي فایل کې دي.

کله چې هدف برعکس وي، یعني یوه منزل له ټونل بهر وساتل، د ټیټ لومړیتوب شمېرې سره د تېرېدو پالیسي ورزیاته کړئ ترڅو په اتوماتیک نصب شوي ننوتون بریالۍ شي. بې کالبد پالیسي ساده متن ته اجازه ورکوي، چې دا یې د بدلون ثبت لپاره په قصد شوې استثنا بدلوي نه د غلطیو موندنې ګام.

په دې ترتیب تصدیق کړئ، او پوه شئ چې څنګه شاته وګرځئ

د هرې فرعي شبکې لپاره پالیسۍ په دواړو لورو کې ولیکئ، په دې کې لېږل هم که کوربه لارښوونه کوي. بېلابېل reqid وشمېرئ او په هغه لوري کې چې تمه یې لري د هرې پالیسۍ لپاره یو تصدیق کړئ. نصب شوي ټاکونکي له موافقه شوو سره پرتله کړئ. د کیلي له نوي کولو وروسته د هرې ټولنې شمېرونکي بیا ولولئ، ځکه هغه ټولنه چې تاسو کتلي ممکن تللې وي. لارې په پای کې وګورئ، ځکه د لرې فرعي شبکې ورکه لار د پاکو پالیسي شمېرونکو سره ورته یو اړخیزه نښه تولیدوي.

مخکې له دې چې سیال بدل کړئ، د دواړو xfrm کمانډونو اوسنی تولید خوندي کړئ. که نوې ترتیب د بېرته راستنېدو لوری بېرته نه راولي، د هغه تولید بېرته راوستل له حافظې څخه د ټونل بیا جوړولو څخه چټکه شاته تګ دی، او پرتله رښتینې ساتي.