Selektory prevádzky v IPsec: čo pokrývajú a čo nie

Selektory prevádzky pomenúvajú vnútornú prevádzku, ktorú IPsec dohoda chráni, a dvojica sa vyjednáva, nie predpokladá. Dva koncové body sa môžu navzájom dokonale overiť a napriek tomu sa nezhodnúť, ktoré pakety patria dovnútra tunela. Táto nezhoda je v stave spojenia neviditeľná, pretože ten zvyčajne hlási zdravý tunel. Prečítať selektory z oboch koncov a potom sledovať jeden cieľ to nájde rýchlejšie ako akékoľvek úpravy politiky.

Čítajte ich z oboch koncov

Každý koncový bod opisuje svoju stranu ako lokálnu a druhú ako vzdialenú. Preto sa rovnaká dvojica prefixov v oboch konfiguráciách javí prehodená, a to je správne, nie protirečivé. Otočiť perspektívu je prvá vec, ktorú treba urobiť, keď funkčná dohoda na papieri vyzerá zle. Porovnávanie dvoch súborov vedľa seba bez ich prehodenia vytvára nezhodu, ktorá neexistuje.

Hodnoty nie sú vždy jednotlivé podsiete. Selektory IKEv2 môžu niesť rozsahy adries, čísla protokolov a rozsahy portov, a tak politika chráni jednu službu namiesto celej siete. Selektor užší ako zamýšľaná prevádzka vytvára tunel, ktorý prenáša niektoré ciele a iné ticho vylučuje.

Skôr než čokoľvek zmeníte, napíšte obe strany do jednej tabuľky. Toto cvičenie zvyčajne otázku vyrieši bez toho, aby sa siahalo na konfiguračný súbor.

Zužovanie je rozhodnutie respondera

Iniciátor navrhuje a responder môže prijať len podmnožinu. IKEv2 umožňuje responderovi zúžiť ponúkané selektory prevádzky a zužujúci výsledok je to, čo sa skutočne nainštaluje. Čítanie konfigurácie iniciátora teda opisuje ponuku, nie dohodu.

Preto podsieť pridaná klientovi môže vytvoriť funkčný tunel, ktorý nový cieľ napriek tomu odmieta. Server zúžil ponuku na to, čo jeho politika dovoľuje, zatiaľ čo súbor klienta stále uvádza širší rozsah. Pravdu ukazuje len vyjednaný stav: v Linuxe ip xfrm policy a výpis child SA v dokumentácii IKEv2 od strongSwanu hlási, čo bolo nainštalované, nie čo bolo požadované. Keď sa obe rozchádzajú, meniť treba politiku respondera.

Odmietnutý návrh je iný príznak než zúžený. Odmietnutie sa objaví v protokole vyjednávania a nezanechá vôbec žiadnu child asociáciu.

Sledujte jeden cieľ od začiatku do konca

Vyberte skutočný cieľ plus zdrojovú adresu, ktorú by preň klient použil, a potom túto dvojicu preveďte tromi nezávislými rozhodnutiami. Trasa volí cestu, selektor rozhoduje, či je táto cesta chránená, a firewall rozhoduje, či je paket povolený. Každé môže zlyhať samo o sebe a široký selektor neopraví žiadne z ostatných.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Dotaz na trasu pomenuje rozhranie a zdrojovú adresu, ktoré by paket niesli. Výpis politík ukazuje, či pre túto dvojicu existuje zodpovedajúca tunelová politika, vrátane jej smeru a úrovne. Výpis SA ukazuje vyjednané child selektory spolu s počítadlami, takže child asociácia s nulou paketov po pokuse o prevádzku je podpisom selektorov, ktoré vylučujú to, čo sa odosiela. Tri príkazy, tri rôzne odpovede a len jeden z nich vysvetľuje tiché zahodenie.

Ak sa child počítadlá hýbu, zatiaľ čo aplikácia stále zlyháva, problém je za tunelom. To presúva vyšetrovanie k procesu počúvajúcemu alebo firewallu vzdialeného hostiteľa, nie k selektorom.

Držte oba ciele oddelené

Chrániť kancelársku podsieť a posielať celé prehliadanie vzdialeným výstupom sú rôzne požiadavky s rôznymi selektormi. Profil postavený pre jedno sa pre druhé hodí len zriedka a ich miešanie dáva buď únik, alebo rozbité rozdelenie. Rozšírenie chráneného rozsahu znamená zmeniť oba koncové body a ich politiku preposielania, pretože jednostranná zmena sa stane odmietnutým návrhom. To je najčastejší spôsob, ako funkčný tunel po malej úprave prestane fungovať.

Selektory opisujú kryptografické pokrytie, trasy volia cesty a aplikácie presadzujú svoje vlastné oprávnenia. Tunel, ktorý pokrýva všetko, napriek tomu nedosiahne službu naviazanú na loopback a trasa do tunela napriek tomu potrebuje selektor zahŕňajúci cieľ. Overte všetky tri na tej istej testovacej požiadavke a nezhoda sa sama pomenuje.