د XFRM اصلي لار IKE او ESP وبلعېدل: بهرنۍ لاره وساتئ

ترافیک ساتل شوی، ټنل فعال دی، او بیا په راتلونکي کیلي تازه کېدو کې مري۔ د XFRM انټرفیس له لارې اصلي لاره هغه ترافیک بیانوه چې تاسو یې ساتل غوښتل۔ دا هغه پاکټونه هم وبلعېدل چې د ساتنې دوام لپاره اړین دي۔

دواړه ښکېل منزلونه د تبادلې وړ نه دي۔ روټینګ باید دا په څرګنده ووایي۔

د همکار پلټنه واقعاً چېرته ځي

فعال قواعد، هغه جدول چې XFRM لاره لري، او د همکار عامه پته ثبت کړئ۔ بیا وګورئ چې بهرنی اړیکه به د خپل ریښتیني سرچینې او نښې سره کومه لاره ونیسي۔ عمومي منزل د هغې کنټرول لارې په اړه هیڅ نه وایي۔ یوازې ریښتینې سرچینه او نښه ګټوره ځواب ورکوي۔

بریالۍ لومړنۍ اړیکه هم لږ څه ثابتوي۔ ناکامي ډیری وختونه وروسته له هغې ښکاري چې د لارې نصبول ځواب بدل کړي۔ پیل بریالی کیږي، بیا لومړنی تازه کېدل نه۔

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

که د همکار پلټنه XFRM انټرفیس ته ورسیږي، بهرني پاکټونه هغه ټنل ته روټ کیږي چې دوی یې پخپله جوړوي۔ دا هماغه لوپ دی، په یوه کمانډ کې لیدل کیږي۔

په عصري ګیټ وې کې د ایستلو اختیارونه

د strongSwan د روټ پر بنسټ VPN په اړه اسناد دوه عملي ځوابونه وړاندې کوي۔ یو IKE او ESP نښان کوي ترڅو هغه قاعده چې XFRM جدول ته اشاره کوي پر دوی ونه لګیږي۔ بل د همکار لاره یا ایستل پریږدي چې پلټنه لا هم ورته رسیږي۔

هغه وټاکئ چې ستاسو د قواعدو ټولګه پرته له اړخیزو اغیزو څرګندولی شي۔ نښه پاکه ده کله چې د سټک پاتې برخه لا دمخه نښې کاروي۔ دا خطر دی کله چې هماغه ماسک په بله قاعده کې بل څه معنی ورکوي۔ دواړه ډوله پاکټونه په هر حال دې درملنې ته اړتیا لري۔

یوازې IKE نښان کول د معلوماتو پاکټونه په نیول شوې لاره پرېږدي۔ دا داسې ټنل جوړوي چې لاس ورکوي او بیا هیڅ نه وړي۔

نښه د پاکټ په fwmark کې یو بټ دی چې په ګیټ وې کې بل هیڅوک یې دعوه نه کوي: 0x1 د 0x1 ماسک سره عادي انتخاب دی، او باید په دوو ځایونو کې تنظیم شي ترڅو ایستل کار وکړي۔ Charon یې په IKE ساکټ کې ته اړتیا لري، او د ماشوم اړیکې د ننوتلو او وتلو نښې تنظیماتو ته هماغه ارزښت ته اړتیا ده ترڅو انکپسول شوي پاکټونه هم نښان شوي ووځي۔ د 0xffffffff پر ځای 0x1 ماسک پاتې بټونه ازاد پرېږدي، چې کله په هماغه هوسټ کې بله فرعي سیسټم لا دمخه پاکټونه نښان کوي مهم دی۔ کله چې دواړه تنظیم شي، قاعده د ایستلو په توګه لیکل کیږي، نو نښان شوي پاکټونه هغه جدول چې XFRM لاره لري پرېږدي او اصلي جدول ته لوېږي:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

بیا ځواب د نښې په تطبیق سره ولولئ۔ پرته له دې تاسو هغه لاره ګورئ چې ساتل شوی ترافیک یې اخلي، چې د دې برخې پوښتنې خلاف دی۔

اتوماتیک نصب د جوړښت په اړه څه فرض کوي

د XFRM انټرفیس لپاره اتوماتیک د لارې نصب په strongSwan نسخه او د هغې په ترتیب پورې اړه لري۔ د انټرفیس ID، نصب شوې پالیسي او اتحاد باید ټولې موخې شیانو ته اشاره وکړي۔ ناسم والی داسې لارې په توګه ښکاري چې په غلیمانه ډول یوې ریښتینې ځای ته اشاره کوي۔

د جدول شمېره یا د نښې ماسک د بل ګیټ وې څخه کاپي کول هماغه د ټکرونو پیل دی۔ لومړی وګورئ چې دا لا دمخه څه کاروي۔ ټکر په هغه ټنل څخه ډیر لرې ترافیک اغیزه کوي چې تاسو یې بدلول غوښتل، او نښه په ندرت سره کاپي ته اشاره کوي۔

د همکار پتې بدلونونه د ډیزاین برخه ده۔ د پرون پتې لپاره هوسټ لاره د پای نقطې د بیا رغولو پلان نه دی، پداسې حال کې چې نښه هغه بدلون ته زغم لري۔

لومړنی تازه کېدل وګورئ

بهرنۍ لاره وروسته له هغې وګورئ چې ساتل شوې لارې نصب شوې، نه مخکې۔ بیا راتلونکی تازه کېدل او یو اپلیکیشن تبادله وګورئ۔ ناکامي معمولاً په هماغه لیږد کې ښکاري، نه په پیل کې۔

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

ساتل شوې اصلي لاره په لنډمهاله توګه لرې کول معمولاً اړیکه بیرته راولي۔ هغه پایله تشخیصي ده، نه پایلي۔

موخه د داخلي ترافیک او هغو بهرنیو پاکټونو ترمنځ ثابته ویشل ده چې دا وړي۔ ټاکل شوی میکانیزم او د هغه جدول یا نښه د ګیټ وې په یادښتونو کې ولیکئ۔ که نه، د قواعدو لاس وهونکی بل کس به لوپ بیا راوړي۔