ولې د OpenVPN لاره د strongSwan XFRM پالیسۍ ته ماتې خوري

پاکټونه کولای شي د OpenVPN لارې تعقیب وکړي او بیا هم د IPsec پالیسۍ لخوا ونیول شي، او دا ترکیب له هرې زاویې څخه د روټینګ تېروتنې په څېر ښکاري پرته له سمې زاویې۔ Linux یوه لاره حل کوي او بیا جلا امنیتي پالیسۍ ډیټابیس ته مراجعه کوي، نو یوه ډېره ځانګړې منزل لاره د مطابقت لرونکې XFRM پالیسۍ ځای نه نیسي۔ لیدل کېدونکې نښه هغه ټرافیک دی چې کوربه پرېږدي او هېڅکله نه رسېږي، پداسې حال کې چې دواړه ټنلونه ځانونه روغ اعلانوي۔ درې انتخابونه دا حل کوي، او کوم یو غوره کړئ په دې پورې اړه لري چې له دوو لارو کومه باید دا مختګ وړي۔

دوه پرېکړې، نه یوه

د لارې ټاکل یوې تنګې پوښتنې ته ځواب ورکوي: کوم بل ګام او کوم سرچینه پته باید دا پاکټ وړي۔ د امنیتي پالیسیو ډیټابیس بل ته ځواب ورکوي: آیا دا پاکټ IPsec ساتنې ته اړتیا لري، او د کومو ټاکنکو لاندې۔ دواړه د یوه پاکټ لپاره چلیږي، او لومړی بشپړول د دویم په اړه هېڅ نه وايي۔ له همدې امله د میټریک بدلول یا د ثابتې لارې اضافه کول کولای شي نښه بې اغېزې پرېږدي۔

پراخه IPsec ټاکنکی معمولي لامل دی۔ هغه پالیسي چې 172.16.0.0/12 ساتي 172.20.8.0/24 هم پوښي، چې مدیر کېدای شي د OpenVPN ټنل له لارې ورته رسېدل غواړي۔ نیت یوازې د روټینګ جدول کې شته، او پالیسۍ ډیټابیس هېڅکله پرې نه پوهېده۔

دا د دوو میټریکونو سیالۍ نه، بلکې د دوه تنظیم شویو ساتنې لارو ترمنځ شخړه وګڼئ۔ سمون باید په هغه برخه کې وي چې د غلطې ساحې سره تنظیم شوې وه۔

هغه لاره ولولئ چې کرنل واقعاً غوره کوي

د هغې پلټنې سره پیل وکړئ چې کرنل کوي، په شمول د سرچینې پته او هر هغه پالیسي قاعده چې کولای شي دا بل جدول ته واړوي۔ په اصلي جدول کې لاره کېدای شي هېڅکله ونه ګڼل شي که پخوانۍ قاعده بل جدول غوره کړي، او د ترټولو اوږد مختګ مطابقت یوازې د هغه جدول دننه چې قاعده یې غوره کوي پلي کېږي۔

ip rule show
ip route show table all
ip route get 172.20.8.20 from 10.44.7.15

وروستی حکم مهم دی، ځکه چې غوره شوې لاره د هغې سرچینې پتې سره چاپوي چې کرنل به یې کاروي۔ هغه پایله د هغه ټاکنکي سره پرتله کړئ چې IPsec پالیسي ورسره مطابقت لري۔ کله چې لاره OpenVPN انټرفیس ته اشاره کوي او پالیسي لا هم هماغه جوړه سره سمون لري، تاسو شخړه پرته له اټکل بیا جوړه کړې ده۔

ډمپونه له بې اړیکې پتو څخه پاک وساتئ مخکې له دې چې ټکټ ته ورسېږي۔ د تولیدي کوربه روټینګ جدول داخلي ټوپولوژي لري، او یوازې هغه کرښې چې پوښتنې ته ځواب وايي د نښلولو وړ دي۔

هغه پالیسي هم ولولئ چې پلي کېږي

د پالیسیو لیست لوري، ټاکنکي او هغه کالب چې پرېکړه کوي د مطابقت لرونکي پاکټ سره څه کېږي ښیي۔ لومړی وتونکی لوری ولولئ، بیا د بېرته راتلونکي ټرافیک لپاره دننه کېدونکی اړخ، ځکه چې یو لوری استثنا هغه اړیکه جوړوي چې پیل کېږي او هېڅکله بشپړېږي نه۔

ip -s xfrm policy
swanctl --list-sas

په لیست کې ټاکنکي د هغو مختګونو سره پرتله کړئ چې اړیکې پرې خبرې کړې دي۔ په strongSwan کې د لارو نصبول بندول هغه پالیسۍ نه لرې کوي، او د میټریک بدلول دا نه بدلوي چې کومه سرچینه-منزل جوړه پالیسي ساتي۔ دا دوه درواغجن سمونونه ارزښت لري چې ژر رد شي، ځکه چې خلک لومړی همدغه هڅه کوي۔

که لیست د هغه مختګ لپاره چې تاسو یې تمه لرله هېڅ پالیسي ونه لري، ستونزه بل ځای کې ده او روټینګ جدول شاید رښتیا وايي۔ که پکې پراخه پالیسي وي چې مختګ پوښي، تاسو نیول موندلي دي۔

کله چې دواړه لارې قانوني وي درې انتخابونه

د IPsec ټاکنکي تنګول ترټولو پاک انتخاب دی کله چې پراخه مختګ اړتیا نه وه بلکې اسانتیا وه۔ د لرې ټرافیک ټاکنکي هغو فرعي شبکو ته راکمول چې واقعاً د IPsec شاته دي، شخړه یوځل د هر کوربه لپاره لرې کوي، او لګښت یې نوی برخه نه بلکې د کیلي بیا خبرې دي۔

کله چې پراخه ټاکنکی باید پاتې شي، د تېرېدو استثنا جراحي انتخاب دی۔ strongSwan د جلا اړیکې ملاتړ کوي چې child یې pass حالت کاروي، کوم چې کرنل ته وايي چې مطابقت لرونکی ټرافیک باید د IPsec لخوا ونه پروسس شي۔ د loopback لرې پته هغه اړیکه د راتلونکو سیالانو لپاره له ټاکل کېدو ساتي، او ټاکنکي باید ریښتینې اجازه ورکړل شوې جوړه بیان کړي نه هر څه۔

connections {
    openvpn-exception {
        remote_addrs = 127.0.0.1
        children {
            openvpn-exception {
                local_ts = 10.44.7.0/24
                remote_ts = 172.20.8.0/24
                mode = pass
                start_action = trap
            }
        }
    }
}

د strongSwan ترتیب بېلګې د دې پالیسۍ ډول او د loopback سیال دود مستندوي۔ درېیم انتخاب د XFRM انټرفیسونو سره د لارې پر بنسټ ډیزاین دی، کوم چې پالیسي د نړیوال ټاکنکي پرځای د نومول شوي انټرفیس له لارې روټ شوي ټرافیک سره تړي۔ دا مهاجرت دی نه تنظیم، او ټرافیک باید لا هم د خبرو شوو ټاکنکو پوره کړي۔

استثنا ثابته کړئ پرته له دې چې پاتې کمزوري کړئ

د بدلون له لوډ کولو وروسته، استثنا او یو عادي منزل چې باید خوندي پاتې شي وآزمویئ۔ دواړه لوري وګورئ، بیا OpenVPN ټنل راوپرځوئ او تایید کړئ چې د استثنا شوي ټرافیک سره څه کېږي۔ هغه استثنا چې ټنل بند وي او مختګ په غلې بڼه په خاموشۍ سره واستوي، هغه پالیسي پرېکړه ده چې باید په قصد وکړئ، نه د پېښې پر مهال ومومئ۔

ولیکئ چې کوم مختګ کومه لاره کاروي او ولې۔ که نه، بل انجنیر چې پراخه ټاکنکی وګوري هماغه څېړنه به بیا پرانیزي، او ځواب به په هغه commit پیغام کې پروت وي چې هیڅوک نه لولي۔