Politika IPsec pohlcuje váš miestny provoz: ako to spoznať

Tlačiareň na stole prestane odpovedať v okamihu, keď sa tunel zdvihne, a nič v konfigurácii tunela tlačiareň nespomína. Zvyčajne sa stalo to, že chránený rozsah bol zapísaný tak široko, že ju zahrnul, takže počítač sa teraz snaží šifrovať prevádzku, ktorá mala zostať v miestnom segmente. Prečítanie nainštalovanej politiky vysvetlí zachytenie; zúženie na správnom mieste udrží vzdialenú prevádzku chránenú. Cesta od zlyhávajúcej požiadavky k zodpovedajúcej politike trvá niekoľko minút.

Prejdite tok skôr, než zmeníte selektor

Začnite pri zlyhávajúcej požiadavke a zapíšte štyri hodnoty: zdrojovú adresu, ktorú počítač používa, presný cieľ, trasu, ktorú zvolí jadro, a politiku, ktorá k tejto dvojici pasuje.

Tieto štyri skutočnosti rozhodujú, či je zachytenie úmyselné alebo náhodné. Cieľ, ktorý spadá do vzdialeného selektora, je chránený zámerne, aj keď bol zámer chybný. Cieľ mimo neho, ktorý sa napriek tomu zachytí, znamená, že pasuje niečo iné, a zmena selektora nepomôže. Oba prípady sú bežné a rozlíši ich jediný príkaz.

Urobte to skôr, než čokoľvek upravíte, pretože zaujímavým prípadom je miestna podsieť, ktorá sa prekrýva s privátnym rozsahom chráneným spojením. Známe prefixy ako 192.168.0.0/16 sa objavujú v mnohých sieťach a selektor napísaný pre jeden z nich môže ticho pokryť ten váš.

Tri druhy miestneho, ktoré sa správajú rôzne

Cieľ priradený tomuto hostiteľovi, cieľ na tom istom spoji a cieľ za iným rozhraním sú tri rôzne prípady. Jadro s každým zaobchádza inak, keď rozhoduje, či prevádzka potrebuje ochranu.

Prevádzka vytváraná samotnou bránou tiež nie je to isté ako prevádzka odovzdávaná od klienta. Politika, ktorá vyzerá správne pre odovzdávanú prevádzku, môže zachytiť vlastnú správcovskú reláciu brány, a tak správca stratí prístup, kým opravuje tunel.

Užitočný zvyk je pomenovať prípad nahlas: prichádza tento paket odo mňa, ide na môj spoj alebo cezo mňa? Každá odpoveď ukazuje na iné miesto na zúženie. Zapísanie prípadu tiež zabráni ďalšiemu človeku opakovať tú istú prácu.

Keď je chránený rozsah celý privátny priestor, môžu doň spadnúť všetky tri prípady naraz a príznakom sa stane počítač, ktorý nedosiahne na nič okrem koncového bodu tunela.

Čítajte nainštalovanú politiku, nie súbor

Konfiguračné súbory opisujú zámer; jadro drží politiky, ktoré skutočne pasujú. Ukážte oboje a rozpor berte ako prvé zistenie.

Tieto príkazy ukazujú zvolenú trasu k cieľu a nainštalované politiky v každom smere:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Trasa vám povie, ktoré rozhranie by paket použil. Zoznam politík vám povie, či sa na tento paket potom použije šablóna, a zoznam spojení ukazuje, ktoré selektory démon považuje za nainštalované. Ak sa cieľ objaví vo vzdialenom selektore, našli ste zachytenie bez hádania.

Zúžte selektor alebo cieľ obíďte

Existujú dve podporované opravy a odpovedajú na rôzne otázky. Zúženie selektora hovorí, že toto spojenie chráni len menší rozsah, čo je správne, keď bol širší rozsah chybou. Pridanie obídenia hovorí, že tento konkrétny cieľ nesmie byť nikdy chránený, čo je správne, keď je chránený rozsah naozaj široký a jeden cieľ je výnimkou.

Vyberte prvú, keď môžete, pretože menší selektor sa ľahšie chápe a objavuje sa v definícii spojenia. Vyberte druhú, keď je široký rozsah zámerný a výnimkou je jediný hostiteľ alebo podsieť, ktorú dokážete pomenovať.

Obe patria do konfigurácie, ktorá spojenie vlastní. Pravidlo za behu pridané ručne zmizne pri ďalšom opätovnom pripojení a porucha sa vráti v okamihu, keď si nikto nepamätá obchvat.

Výnimky prežívajúce reinstaláciu

Po zmene zopakujte tú istú neškodnú požiadavku a pozrite sa na tie isté počítadlá. Miestny cieľ by mal odpovedať a zamýšľaný vzdialený cieľ by mal stále vykazovať šifrovanú prevádzku.

Tieto dve kontroly potvrdzujú, že výnimka prežila a ochrana nie:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Potom tunel zámerne odpojte a znovu pripojte a oboje zopakujte. Výnimka, ktorá funguje pred opätovným pripojením a po ňom zlyhá, bola použitá na nesprávnej vrstve, a to je najčastejší spôsob, akým sa tento problém vracia.