ولې د IPsec امنیتي پالیسي د لارښود جدول یوه ننوتنه نه ده

له تونل څخه 10.20.0.5 ته ping وکړئ او هیڅ نه راګرځي، په داسې حال کې چې د لارښود جدول ټینګار کوي چې هغه فرعي شبکه د لاسرسي وړ ده۔ لارښود او IPsec بېلې پوښتنې ځوابوي، او یوازې یوه یې د لاسرسي په اړه ده۔ د مخې پلټنه یوه لار ټاکي، بیا د امنیتي پالیسۍ ډیټابیس پریکړه کوي چې هغه لار باید وساتل شي، پرېښودل شي یا رد شي۔ کله چې دواړه سره نه جوړیږي، پاکټ په چوپتیا مري، نو دوی په همدې ترتیب ولولئ۔

له پلټنې پیل وکړئ، نه له جدول

له کرنل وپوښتئ چې واقعاً به څه وکړي: ip route get 10.20.0.5 ټاکل شوې لار، وتونکی انټرفیس او هغه سرچینه پته چې به یې کاروي چاپوي۔ مخکښ، د پالیسۍ قاعده، نښه یا غوره سرچینه ټول هغه ځواب بدلولی شي، له همدې امله ژوندې پلټنه له سترګو سره د جدول لوستلو څخه غوره ده۔

د ساتل شوې سیمې دننه یو هدف وآزمویئ، نه د دروازې پته۔ بلې خوا ته د دروازې رسیدل یوازې دا ثابتوي چې یوه لار شته؛ دا د هغې فرعي شبکې په اړه هیڅ نه وایي چې تاسو ورته واقعاً اړتیا لرئ۔ بیا تایید کړئ چې پلټنې ټاکلی انټرفیس هغه دی چې تمه لرئ تونل یې کاروي۔

په دواړو خواوو کې ټاکونکي سره برابر کړئ

د پالیسۍ ډیټابیس خپلې ننوتنې لري، او هر یو یې لوری، سرچینه، هدف او پروتوکول نوموي، بیا وایي چې له برابریدونکو پاکټونو سره څه باید وشي۔ د دوی لیست کولو لپاره ip xfrm policy وکاروئ؛ بیرغونه ښیي چې عمل ساتنه، تېریدل یا بندول دی۔ هغه پالیسي چې ټاکونکي یې ستاسو له ازموینې بهیر څخه پراخ یا تنګ دي ورسره به برابر نه شي، او پاکټ بې ساتنې وځي۔ دا هغه خرابي ده چې تاسو یې لټوئ، نه ورکه لار۔

ریښتیني ارزښتونه پرتله کړئ: سرچینه، هدف، پروتوکول او پورټونه۔ که پلټنې یوه پته جوړه حل کړه او د پالیسۍ ننوتنه بله پوښي، دواړه لیدونه بېل ترافیک بیانوي۔ د پایلې دمخه دواړه د ورته ټپل سره بیا وچلوئ، که نه نو هغه پالیسي به سمولئ چې هیڅکله په لار کې نه وه۔

د پالیسۍ برابریدل نصب شوی حالت نه دی

برابریدونکې پالیسي یوازې وایي چې پاکټ باید وساتل شي؛ کرنل لا هم د ساتنې لپاره امنیتي ټولنې ته اړتیا لري۔ دوی د ip xfrm state سره لیست کړئ، یا کله چې strongSwan خبرې اترې کوي د swanctl --list-sas سره، او د هرې ننوتنې ټاکونکي او شمارونکي ولولئ۔

کله چې پالیسي برابره شي او هیڅ ټولنه هماغه ټاکونکي ونه پوښي، پاکټ د روښانه متن په توګه لېږلو پرځای غورځول کیږي۔ دا هغه غورځول دی چې باید یې ولټوئ کله چې تونل پورته وي خو یوه فرعي شبکه ناکامه شي۔ شمارونکي پاتې وایي: هغه ټولنه چې هیڅکله نه زیاتیږي هیڅکله نه وه ټاکل شوې، خو هغه چې زیاتیږي او بیا هم په غورځولو پای ته رسي لرې خوا ته اشاره کوي۔ د ټاکونکو سمول او د کیلي نوي کول بېلې ترمیمې دي، نو پریکړه وکړئ چې کومه یې غواړئ، د ترتیباتو له لمس کولو دمخه۔

هغه څه چې په لار ولاړ تونل لا هم غواړي

XFRM انټرفیس تونل دې ته ورته کوي چې تاسو ورته لارښود کولی شئ، دا واقعاً ګټور دی۔ خو هغه پالیسي او حالت نه لرې کوي چې پریکړه کوي کله چې پاکټ هلته ورسید، څه به کیږي۔ لار یوازې بل ګام ورکوي، نه نور څه۔

که وسیله شته او لار ورته اشاره کوي خو هیڅ ټولنه د داخلي ټاکونکو سره برابره نه ده، پاکټ رد کیږي، او هر څومره د لار سمون هم کیلي یا ټاکونکي نه جوړوي۔ انټرفیس د هماغه سرچینې او هدف سره چې لارښود مو کړی و ازموئ، بیا یې د حالت لیست سره پرتله کړئ۔

د هر څه سمولو دمخه مالکیت روښانه کړئ

د کوربه اور وژونکی دیوال دریمه پریکړه زیاتوي چې دواړه ډیټابیسونه نه پرې پوهیږي۔ سمه لار او برابره پالیسي او نصب شوې ټولنه بیا هم په غورځول شوي پاکټ پای ته رسیدلی شي، او اپلیکیشن یوازې د وخت پای راپور کوي۔ د IPsec تورنولو دمخه تایید کړئ چې دیوال ساتل شوي ترافیک ته اجازه ورکوي۔ په تونل وسیله او فزیکي انټرفیس کې نیول ښیي چې پاکټ د کوډونې کومې خوا کې ورک شو۔

د ترتیباتو مالکیت پریکړه کوي چې ستاسو سمون به د بیا پیل وروسته پاتې شي که نه۔ یو برخه کولی شي حالت نصب کړي خو بله لارې اداره کوي، او دویمې ته لاسي سمون د تونل بل ځل پورته کیدو سره بیا لیکل کیږي۔ مالک ترتیبات بدل کړئ، بیا دواړه لیدونه بیا ولولئ؛ RFC 4301 دواړه ډیټابیسونه جلا ساتي کله چې باید دا ویش بل چا ته تشریح کړئ۔