XFRM සාමාන්‍ය මාර්ගය IKE සහ ESP ගිල දැම්මේය: පිටත මාර්ගය රඳවා ගන්න

ගමනාගමනය ආරක්ෂිතය, ටනලය ක්‍රියාත්මකය, පසුව ඊළඟ යතුරු අලුත් කිරීමේදී එය මිය යයි. XFRM අතුරුමුහුණත හරහා යන සාමාන්‍ය මාර්ගය ඔබ ආරක්ෂා කිරීමට අදහස් කළ ගමනාගමනය විස්තර කළේය. ආරක්ෂාව දිගටම කරගෙන යාමට අවශ්‍ය පැකට් ද එය ගිල දැම්මේය.

සම්බන්ධ වන ගමනාන්ත දෙක හුවමාරු කළ නොහැකි ය. මාර්ගගත කිරීම එය පැහැදිලිව කිව යුතුය.

සමානයා සෙවීම ඇත්තටම යන්නේ කොහේටද

ක්‍රියාකාරී නීති, XFRM මාර්ගය ඇති වගුව සහ සමානයාගේ පොදු ලිපිනය සටහන් කරන්න. පසුව පිටත සම්බන්ධතාවය එහි සැබෑ මූලාශ්‍රය සහ ලකුණ සමඟ ගන්නා මාර්ගය බලන්න. සාමාන්‍ය ගමනාන්තයක් එම පාලන මාර්ගය ගැන කිසිවක් නොකියයි. සැබෑ මූලාශ්‍රය සහ ලකුණ පමණක් ප්‍රයෝජනවත් පිළිතුරක් දෙයි.

සාර්ථක ආරම්භක සම්බන්ධතාවයක් ද එතරම් ඔප්පු කරන්නේ නැත. මාර්ග ස්ථාපනයක් පිළිතුර වෙනස් කළ පසු අසාර්ථකත්වය බොහෝ විට දිස්වේ. ආරම්භය සාර්ථක වේ, පසුව පළමු අලුත් කිරීම එසේ නොවේ.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

සමානයා සඳහා සෙවීම XFRM අතුරුමුහුණතට වැටුණහොත්, පිටත පැකට් ඔවුන්ම ගොඩනඟන ටනලයට මාර්ගගත වේ. එයයි ලූපය, එක් විධානයකින් දිස්වේ.

නවීන ගේට්වේයක බැහැර කිරීමේ විකල්ප

strongSwan හි මාර්ගගත කිරීම පාදක VPN පිළිබඳ ලේඛනය ප්‍රායෝගික පිළිතුරු දෙකක් ඉදිරිපත් කරයි. එකක් IKE සහ ESP සලකුණු කරයි, XFRM වගුවට යොමු වන නීතිය ඒවාට නොගැළපෙන පරිදි. අනෙක සමානයාගේ මාර්ගයක් හෝ බැහැර කිරීමක් තබයි, සෙවීමට තවමත් ළඟා විය හැකි.

ඔබේ නීති කට්ටලයට අතුරු බලපෑම් නොමැතිව ප්‍රකාශ කළ හැකි එක තෝරන්න. ස්ටැකයේ ඉතිරිය දැනටමත් ලකුණු භාවිතා කරන්නේ නම් ලකුණ පිරිසිදු ය. එම ආවරණයම වෙනත් නීතියක වෙනත් දෙයක් අදහස් කරන්නේ නම් එය අන්තරායකි. පැකට් වර්ග දෙකටම කෙසේ හෝ මෙම ප්‍රතිකාරය අවශ්‍ය ය.

IKE පමණක් සලකුණු කිරීම දත්ත පැකට් අල්ලා ගත් මාර්ගයේම තබයි. එය අත්වැල් ගැසීමක් කර පසුව කිසිවක් නොගෙන යන ටනලයක් සාදයි.

ලකුණ යනු ගේට්වේයේ වෙනත් කිසිවක් හිමිකම් නොකියන පැකට්ටුවේ fwmark හි එක් බිටුවකි: 0x1, ආවරණ 0x1 සමඟ සාමාන්‍ය තේරීම වන අතර, බැහැර කිරීම ක්‍රියා කිරීමට එය ස්ථාන දෙකක සැකසිය යුතුය. Charon ට එය IKE සොකට්ටුවේ අවශ්‍ය ය, දරු සම්බන්ධතාවයේ ඇතුළත් සහ පිටත් ලකුණු සැකසුම්වලට ද එම අගයම අවශ්‍ය ය, එවිට ආවරණය කළ පැකට් ද ලකුණු සහිතව පිටත් වේ. 0xffffffff වෙනුවට 0x1 ආවරණය ඉතිරි බිටු නිදහස් කරයි, එය එකම සත්කාරකයේ වෙනත් උපපද්ධතියක් දැනටමත් පැකට් සලකුණු කරන විට වැදගත් වේ. දෙකම සකසා ඇති විට, නීතිය බැහැර කිරීමක් ලෙස ලියැවේ, එබැවින් ලකුණු කළ පැකට් XFRM මාර්ගය ඇති වගුව මඟ හැර ප්‍රධාන වගුවට වැටේ:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

පසුව ලකුණ යොදා පිළිතුර කියවන්න. එය නොමැතිව ඔබ ආරක්ෂිත ගමනාගමනය ගන්නා මාර්ගය පරීක්ෂා කරයි, එය මෙම කොටසේ ප්‍රශ්නයට විරුද්ධ ය.

ස්වයංක්‍රීය ස්ථාපනය ගොඩනැගීම ගැන උපකල්පනය කරන්නේ කුමක්ද

XFRM අතුරුමුහුණතක් සඳහා ස්වයංක්‍රීය මාර්ග ස්ථාපනය strongSwan අනුවාදය සහ එහි වින්‍යාසය මත රඳා පවතී. අතුරුමුහුණත් ID, ස්ථාපිත ප්‍රතිපත්තිය සහ සම්බන්ධතාවය සියල්ලම අපේක්ෂිත වස්තූන්ට යොමු විය යුතුය. නොගැළපීම දිස්වන්නේ නිහඬව කොහේ හෝ සැබෑ තැනකට යොමු වන මාර්ගයක් ලෙස ය.

වෙනත් ගේට්වේයකින් වගු අංකයක් හෝ ලකුණු ආවරණයක් පිටපත් කිරීම ගැටුම් ආරම්භ වන ආකාරය ය. පළමුව එය දැනටමත් භාවිතා කරන්නේ කුමක්දැයි පරීක්ෂා කරන්න. ගැටුමක් ඔබ වෙනස් කිරීමට අදහස් කළ ටනලයට වඩා බොහෝ දුර ගමනාගමනයට බලපායි, සහ රෝග ලක්ෂණය කලාතුරකින් පිටපතට යොමු වේ.

සමානයාගේ ලිපින වෙනස්කම් නිර්මාණයේ කොටසකි. ඊයේ ලිපිනය සඳහා සත්කාරක මාර්ගයක් අන්තිම ලක්ෂ්‍ය ප්‍රතිසාධන සැලැස්මක් නොවේ, ලකුණ එම වෙනසට ඔරොත්තු දෙන අතර.

පළමු අලුත් කිරීම නිරීක්ෂණය කරන්න

ආරක්ෂිත මාර්ග ස්ථාපනය කළ පසු පිටත මාර්ගය පරීක්ෂා කරන්න, ඊට පෙර නොවේ. පසුව ඊළඟ අලුත් කිරීම සහ එක් යෙදුම් හුවමාරුවක් නිරීක්ෂණය කරන්න. අසාර්ථකත්වය සාමාන්‍යයෙන් දිස්වන්නේ එම සංක්‍රාන්තියේදී ය, ආරම්භයේදී නොවේ.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

ආරක්ෂිත සාමාන්‍ය මාර්ගය තාවකාලිකව ඉවත් කිරීම සාමාන්‍යයෙන් සම්බන්ධතාවය නැවත ලබා දෙයි. එම ප්‍රතිඵලය රෝග නිර්ණයකි, අවසාන නොවේ.

ඉලක්කය වන්නේ ඇතුළත ගමනාගමනය සහ එය ගෙන යන පිටත පැකට් අතර ස්ථාවර බෙදීමකි. තෝරාගත් යාන්ත්‍රණය සහ එහි වගුව හෝ ලකුණ ගේට්වේ සටහන්වල ලියන්න. නොඑසේ නම් නීති ස්පර්ශ කරන ඊළඟ පුද්ගලයා ලූපය නැවත හඳුන්වා දෙනු ඇත.