strongSwan සිට AWS Site-to-Site දක්වා: Child SA කිසිවක් තෝරා නොගන්නේ ඇයි

IKE උමඟ සක්‍රීයව තිබිය හැකි නමුත් දරු සංගතිය ඔබේ උපජාල බැහැර කරයි. පළමුව AWS හි දේශීය සහ දුරස්ථ CIDR leftsubnet සහ rightsubnet සමඟ සසඳන්න.

කොන්සෝලය up පෙන්වයි, strongSwan ස්ථාපිත IKE සංගතියක් වාර්තා කරයි, නමුත් පැකට් තවමත් නොපැමිණේ. ඊළඟට සසඳා බැලිය යුත්තේ පෙර-හවුල් යතුර නොව, එක් එක් පැත්ත උමඟ ආරක්ෂා කරන බව විශ්වාස කරන උපසර්ග යුගලයයි. පහත පරීක්ෂණ අනුපිළිවෙලින් කරන්න, මන්ද පළමු දෙක උමඟට ඔබේ රථවාහන ගෙන යා හැකිද යන්න තීරණය කරයි.

AWS නාම strongSwan පද වලට පරිවර්තනය කරන්න

AWS සම්බන්ධතාවය පාරිභෝගික පැත්තෙන් විස්තර කරයි: පාරිභෝගික ද්වාර ලිපිනය සහ දේශීය CIDR ඔබට අයත් වන අතර දුරස්ථ CIDR VPC ට අයත් වේ. strongSwan දෙකෙළවර left සහ right ලෙස හඳුන්වන අතර ඔබේ උපසර්ගය leftsubnet හි ද VPC උපසර්ගය rightsubnet හි ද පිහිටයි. එක් යුගලයක් ආපසු හැරවීමෙන් වැරදි රථවාහන සාකච්ඡා කර තෝරා ගන්නා උමඟක් සෑදේ.

AWS සම්බන්ධතාවය සඳහා ජනනය කරන වින්‍යාසය බාගත කර උමඟේ ලිපින සහ උපසර්ග ඇතුළුව එය එම සම්බන්ධතාවයේම යොමුව ලෙස සලකන්න. නිර්මාණයේදී CIDR ක්ෂේත්‍ර දෙකම හිස්ව තැබුවහොත් සේවාව එක් එක් පැත්තේ 0.0.0.0/0 පෙරනිමිය භාවිතා කරයි. පටු උපසර්ගයක් සහිතව සකසන ලද රවුටරයක් එවිට කිසිදා නොගැලපේ, එබැවින් ක්ෂේත්‍ර පුරවන්න හෝ තෝරකය හිතාමතා පුළුල් කරන්න.

මෙහි ඇති නොගැලපීම මාර්ගගත කිරීමේ අසාර්ථකත්වයක් ලෙස පෙනේ, නමුත් එය එසේ නොවේ.

AWS සැබවින්ම දකින ලිපිනය ස්ථාවර කරන්න

NAT පිටුපස ඇති රවුටරයකට අනෙක් පැත්ත කිසිදා නොදැන සිටි අතුරුමුහුණතකින් IKE යැවිය හැක. AWS හි සටහන් වන ද්වාර ලිපිනය AWS ජාලයේ දකින ලිපිනයම විය යුතු අතර රවුටරය එහි පෙරනිමි මාර්ගය අනුගමනය කරනවා වෙනුවට එම දේශීය ලිපිනයටම සවි කළ යුතුය.

conn %default
    local_addrs = 203.0.113.10

strongSwan හි local_addrs IKE සඳහා මූල ලිපිනය තෝරයි, පැරණි OpenSwan වින්‍යාස එම අදහසම left ලෙස ලියයි. එය පොදු ලිපිනය ඇති අතුරුමුහුණතට යොමු කරන්න, පසුව NAT උපාංගයේම UDP 500 සහ 4500 එම සත්කාරකයට ළඟා වන බව තහවුරු කරන්න, මන්ද පෙර රවුටරයකින් ඉතිරි වූ නියමයක් ඒවා නිහඬව ඉවතලයි. නිවැරදි තෝරක යුගලයක් වැරදි මූල ලිපිනය සමඟ වුවද අසාර්ථක වේ, ලොගය චෝදනා කරන්නේ යෝජනාවටය. එම නොමඟ යැවීම නිසාම මූල ලිපිනයට වෙනම පරීක්ෂණයක් අවශ්‍ය වේ.

ඉදිරියට යැවීමේ නියමය උපකල්පනය කරනවා වෙනුවට තහවුරු කරන්න, මන්ද පෙර රවුටරයට නිවැරදි වූ නියමය බොහෝ විට ඉතිරි වේ.

අදියර 1 සහ අදියර 2 වෙන වෙනම හසුරුවන්න

AWS IKE සහ ESP විකල්ප වෙන වෙනම ලැයිස්තු ලෙස පෙන්වයි. දෙපැත්තම පිළිගන්නා IKE කට්ටලය ESP යෝජනාව ගැන කිසිවක් නොකියයි, මන්ද ලැයිස්තු දෙක ස්වාධීනය. දෙකම ජනනය කළ වින්‍යාසයෙන් කියවා එකින් එක සසඳන්න.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

වාක්‍ය ව්‍යුහය ක්‍රියාත්මක කිරීම් අතර ගමන් නොකරයි. OpenSwan හි ක්‍රියා කරන යුගලයක්, උදාහරණයක් ලෙස phase2alg=aes_gcm සමඟ ike=aes256-sha1;modp1024, strongSwan හි esp= සහ ike= ආකෘතියට පරිවර්තනය කළ යුතු අතර ඇල්ගොරිතම නාම වෙනස් වේ. GCM සංකේතනය කරන අතරේ සත්‍යාපනය කරන බැවින් SHA සමඟ යුගලනය වූ CBC කට්ටලය මෙන් නොව එයට වෙනම අඛණ්ඩතා පරිවර්තනයක් අවශ්‍ය නොවේ. එක් ඩීමනයකින් තවත් එකකට පරිවර්තනයකින් තොරව අලවන ලද අදියර 2 පේළියක් තෝරක නොගැලපීමක් ලෙස කියවෙන ප්‍රතික්ෂේපයක් ඇති කරයි.

උමඟ දර්ශකය නොව දරු සංගතිය පරීක්ෂා කරන්න

සම්බන්ධතාවය පූරණය වුවත් දරු සංගතියක් නොනැගෙන්නේ නම් යෝජනාව හෝ තෝරක ප්‍රතික්ෂේප වී ඇත. දරුවෙක් නැගී එහි තෝරක ඔබේ උපසර්ග බැහැර කරන්නේ නම් පැකට් උමඟට ළඟා වීමට පෙර පෙරහන් වේ. කොන්සෝල දර්ශකය ආවරණය කරන්නේ IKE මට්ටම පමණක් බැවින් දෙකෙන් කුමක් සිදු වුණා දැයි පැවසිය නොහැක.

ipsec statusall

දරු ආරක්ෂක සංගතිය සොයා එය අසල මුද්‍රණය කර ඇති රථවාහන තෝරක කියවා, පසුව ඒවා ජනනය කළ වින්‍යාසයේ උපසර්ග සමඟ සසඳන්න.

දේශීය උපසර්ගය තුළ ඇති සත්කාරකයකින් VPC උපසර්ගය තුළ ඇති සත්කාරකයකට පරීක්ෂා කර, ආපසු මාර්ගය සහ AWS පැත්තේ ඕනෑම ආරක්ෂක සමූහයක් හෝ ජාල ACL පරීක්ෂා කරන්න. නිවැරදි තෝරක පසුව පැකට් ඉවතලීමෙන් ආරක්ෂා නොකරයි.

තෝරක ගැලපුණු පසුවත් අසාර්ථක වන විට

දෙපැත්තේම මාර්ගය උමඟ දෙසට යන බව තහවුරු කර, පසුව NAT උපාංගය ප්‍රතිපත්තිය බලාපොරොත්තු නොවන ආකාරයෙන් රථවාහන නැවත නොලියන බව තහවුරු කරන්න. ප්‍රතිපත්ති මත පදනම් වූ උමඟක් පැකට් ලිපින ගලපයි, එබැවින් ප්‍රතිපත්ති තීරණයෙන් පසුව යොදන පරිවර්තනය ප්‍රතිඵලය වෙනස් කරයි.

තවත් යෝජනාවක් වෙනස් කිරීමට පෙර එක් එක් පැත්තේ එන එකක් සහ යන එකක් ලොග් කරන්න.

ටිකට් පතේ තෝරක, අදියර 1 සහ අදියර 2 යෝජනා සහ මූල ලිපිනය සටහන් කරන්න. මෙම අගයන් හතර ඇමතුමකින් තොරව බොහෝ site-to-site අසාර්ථකතා පැහැදිලි කරයි.

අදාළ ලිපි