IPsec politika guta vaš lokalni promet: kako to prepoznati

Pisač na stolu prestaje odgovarati u trenutku kad se tunel podigne, a ništa u konfiguraciji tunela ne spominje pisač. Obično se dogodilo to da je zaštićeni raspon zapisan dovoljno široko da ga uključi, pa stroj sada pokušava šifrirati promet koji je trebao ostati na lokalnom segmentu. Čitanje instalirane politike objašnjava presretanje; sužavanje na pravom mjestu održava udaljeni promet zaštićenim. Put od neuspješnog zahtjeva do odgovarajuće politike traje nekoliko minuta.

Prijeđite tijek prije nego što promijenite selektor

Počnite od neuspješnog zahtjeva i zapišite četiri vrijednosti: izvornu adresu koju stroj koristi, točno odredište, rutu koju odabere jezgra i politiku koja odgovara tom paru.

Te četiri činjenice odlučuju je li presretanje namjerno ili slučajno. Odredište koje pada unutar udaljenog selektora zaštićeno je po dizajnu, čak i ako je dizajn bio pogrešan. Odredište izvan njega koje se ipak presretne znači da se podudara nešto drugo, i promjena selektora neće pomoći. Oba su slučaja česta, a razlikuje ih jedna jedina naredba.

Učinite to prije nego što bilo što uredite, jer je zanimljiv slučaj lokalna podmreža koja se preklapa s privatnim rasponom koji veza štiti. Poznati prefiksi poput 192.168.0.0/16 pojavljuju se u mnogim mrežama, a selektor napisan za jedan od njih može tiho pokriti vaš.

Tri vrste lokalnog koje se ponašaju različito

Odredište dodijeljeno ovom hostu, odredište na istoj vezi i odredište iza drugog sučelja tri su različita slučaja. Jezgra svaki obrađuje drukčije kad odlučuje treba li promet zaštitu.

Ni promet koji generira sam gateway nije isti kao promet proslijeđen od klijenta. Politika koja izgleda ispravno za proslijeđeni promet može presresti vlastitu administrativnu sesiju gatewaya, i tako administrator izgubi pristup dok popravlja tunel.

Korisna navika je naglas imenovati slučaj: dolazi li ovaj paket od mene, ide li na moju vezu ili prolazi kroz mene? Svaki odgovor pokazuje na drugo mjesto za sužavanje. Zapisivanje slučaja također sprječava sljedeću osobu da ponovi isti posao.

Kad je zaštićeni raspon cijeli privatni prostor, sva tri slučaja mogu pasti u njega odjednom, a simptom postaje stroj koji ne doseže ništa osim krajnje točke tunela.

Čitajte instaliranu politiku, ne datoteku

Konfiguracijske datoteke opisuju namjeru; jezgra drži politike koje se stvarno podudaraju. Prikažite oboje i nesklad tretirajte kao prvi nalaz.

Ove naredbe pokazuju odabranu rutu do odredišta i instalirane politike u svakom smjeru:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Ruta vam kaže koje bi sučelje paket koristio. Popis politika kaže vam primjenjuje li se zatim predložak na taj paket, a popis veza pokazuje koje selektore demon smatra instaliranima. Ako se odredište pojavi u udaljenom selektoru, pronašli ste presretanje bez nagađanja.

Suzite selektor ili zaobiđite odredište

Postoje dva podržana popravka i odgovaraju na različita pitanja. Sužavanje selektora kaže da ova veza štiti samo manji raspon, što je ispravno kad je širi raspon bio pogreška. Dodavanje zaobilaznice kaže da ovo konkretno odredište nikada ne smije biti zaštićeno, što je ispravno kad je zaštićeni raspon doista širok, a jedno je odredište iznimka.

Odaberite prvi kad možete, jer je manji selektor lakše razumjeti i pojavljuje se u definiciji veze. Odaberite drugi kad je široki raspon namjeran, a iznimka je jedan host ili podmreža koju možete imenovati.

Oba pripadaju konfiguraciji koja posjeduje vezu. Pravilo u vrijeme izvođenja dodano ručno nestaje pri sljedećem ponovnom spajanju, a kvar se vraća u trenutku kad se nitko više ne sjeća zaobilaznice.

Iznimke sigurne pri ponovnoj instalaciji

Nakon promjene ponovite isti bezopasni zahtjev i pogledajte iste brojače. Lokalno odredište trebalo bi odgovoriti, a željeno udaljeno odredište trebalo bi i dalje pokazivati šifrirani promet.

Ove dvije provjere potvrđuju da je iznimka preživjela, a zaštita nije:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Zatim namjerno prekinite i ponovno spojite tunel te ponovite oboje. Iznimka koja radi prije ponovnog spajanja, a nakon njega ne uspije, primijenjena je na pogrešnom sloju, i to je najčešći način na koji se ovaj problem vraća.