De ce o politică de securitate IPsec nu este o intrare în tabela de rutare

Trimite ping la 10.20.0.5 prin tunel și nu se întoarce nimic, în timp ce tabela de rutare insistă că acea subrețea este accesibilă. Rutarea și IPsec răspund la întrebări diferite, și doar una dintre ele este despre accesibilitate. Căutarea înainte alege o cale, apoi baza de date a politicii de securitate decide dacă acea cale trebuie protejată, lăsată așa cum este sau refuzată. Când cele două nu sunt de acord, pachetul moare în liniște, așa că citește-le în această ordine.

Începe cu căutarea, nu cu tabela

Întreabă nucleul ce ar face de fapt: ip route get 10.20.0.5 afișează ruta aleasă, interfața de ieșire și adresa sursă pe care ar folosi-o. Un prefix, o regulă de politică, un marcaj sau o sursă preferată pot schimba acel răspuns, de aceea căutarea live bate citirea tabelului cu ochiul.

Testează o destinație din interiorul intervalului protejat, nu adresa porții. A ajunge la poarta de dincolo dovedește doar că există o rută; nu spune nimic despre subrețeaua de care ai nevoie cu adevărat. Apoi confirmă că interfața aleasă de căutare este cea pe care te aștepți să o folosească tunelul.

Potrivește selectorii pe ambele părți

Baza de date a politicii are propriile intrări, iar fiecare numește o direcție, o sursă, o destinație și un protocol, apoi spune ce trebuie să se întâmple cu pachetele care se potrivesc. Folosește ip xfrm policy pentru a le lista; indicatorii arată dacă acțiunea este protejare, ocolire sau blocare. O politică ai cărei selectori sunt mai largi sau mai înguști decât fluxul tău de test nu se va potrivi cu el, iar pachetul iese neprotejat. Aceasta este defecțiunea pe care o cauți, nu o rută lipsă.

Compară valorile reale: sursă, destinație, protocol și porturi. Dacă căutarea a rezolvat o pereche de adrese în timp ce intrarea de politică o acoperă pe alta, cele două vederi descriu trafic diferit. Rulează ambele din nou cu același tuplu înainte de a trage o concluzie, altfel vei edita o politică ce nu a fost niciodată pe cale.

O potrivire de politică nu este stare instalată

O politică potrivită spune doar că pachetul trebuie protejat; nucleul are încă nevoie de o asociere de securitate pentru a face protecția. Listează-le cu ip xfrm state, sau cu swanctl --list-sas când strongSwan duce negocierile, și citește selectorii și contoarele fiecărei intrări.

Când o politică se potrivește și nicio asociere nu acoperă aceiași selectori, pachetul este eliminat în loc să fie trimis în text clar. Aceasta este eliminarea pe care trebuie să o cauți când tunelul este activ dar o singură subrețea eșuează. Contoarele spun restul: o asociere care nu crește niciodată nu a fost niciodată selectată, iar una care crește și totuși se termină într-o eliminare indică partea îndepărtată. Corectarea selectorilor și reînnoirea cheilor sunt reparații diferite, așa că decide de care ai nevoie înainte de a atinge configurația.

Ce încă mai cere un tunel bazat pe rută

O interfață XFRM face tunelul să arate ca un dispozitiv către care poți ruta, ceea ce este cu adevărat util. Nu elimină politica și starea care decid ce se întâmplă odată ce pachetul ajunge acolo. Ruta contribuie cu un salt următor și nimic mai mult.

Dacă dispozitivul există și ruta indică spre el în timp ce nicio asociere nu se potrivește selectorilor interni, pachetul este aruncat, și nicio cantitate de editare a rutelor nu produce chei sau selectori. Verifică interfața cu aceeași sursă și destinație pe care le-ai rutat, apoi compară asta cu lista de stări.

Clarifică proprietatea înainte de a edita ceva

Un firewall de gazdă adaugă o a treia decizie pe care niciuna dintre cele două baze de date nu o cunoaște. O rută corectă plus o politică potrivită plus o asociere instalată pot totuși sfârși într-un pachet eliminat, iar aplicația raportează doar expirarea timpului. Confirmă că firewallul permite traficul protejat înainte de a da vina pe IPsec. Capturarea pe dispozitivul tunelului și pe interfața fizică arată de ce parte a criptării a dispărut pachetul.

Proprietatea configurației decide dacă corectarea ta supraviețuiește unei reporniri. O componentă poate instala stare în timp ce alta gestionează rutele, iar o editare manuală la a doua este suprascrisă la următoarea ridicare a tunelului. Schimbă configurația proprietară, apoi recitește ambele vederi; RFC 4301 ține cele două baze de date separate când trebuie să explici împărțirea altcuiva.