Ako funguje IPsec založený na trasách s rozhraním XFRM

IPsec založený na trasách odovzdáva smerovacej tabuľke rozhodnutie, ktoré predtým robili selektory politiky. V Linuxe je časťou, ktorá to umožňuje, rozhranie XFRM: virtuálne zariadenie, ktorého prevádzka sa páruje so stavom IPsec podľa identifikátora rozhrania, nie podľa selektora. Vytvorenie jedného zaberie jediný príkaz a nič nedokazuje o tom, či tunel existuje. Zariadenie je hák medzi smerovaním a bezpečnostnou politikou a obe strany tohto háku musia byť nakonfigurované, kým je čokoľvek chránené.

Čo zariadenie je a čo nie je

Rozhranie XFRM je smerovacia rukoväť. Pakety smerované doň sa párujú s politikami XFRM, ktoré odkazujú na ten istý identifikátor rozhrania, a ak existuje politika aj stav, sú zapuzdrené. Bez nich rozhranie existuje, počítadlá stoja a prevádzka ide niekam, kde nemá úžitok.

To je prvé diagnostické rozdelenie. Trasa do zariadenia je smerovací fakt, nainštalovaný stav je bezpečnostný fakt a rastúce počítadlo na zariadení nie je ani jedno. Keď ľudia hovoria, že tunel je hore, pretože rozhranie ukazuje UP, opisujú príznaky odkazu virtuálneho zariadenia, ktoré nemá vlastného partnera. Príznak znamená, že zariadenie bolo vytvorené a povolené, nič viac.

Ešte jedna hranica: identifikátor rozhrania nie je meno. Dve zariadenia s podobnými menami a rôznymi identifikátormi nezdieľajú stav a spojenie nakonfigurované s nesprávnym identifikátorom nainštaluje stav, ktorý žiadna trasa nikdy nepoužije.

Postavte jedno v správnom poradí

Začnite s vonkajším zariadením a číslom, ktoré tiež vložíte do konfigurácie démona. Príklad používa eth0 ako vonkajšie rozhranie a 42 ako identifikátor, adresy, ktoré by ste mali nahradiť svojimi.

Zdvihnite zariadenie a potom potvrďte identifikátor, ktorý jadro zaznamenalo, predtým než sa dotknete konfigurácie VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Teraz nakonfigurujte spojenie v strongSwane s tým istým identifikátorom, pretože démon musí nainštalovať politiky a stavy, ktoré naň odkazujú. Nastavte miestne a vzdialené selektory prevádzky na rozsah, ktorý chcete smerovať, a potom tento rozsah smerujte do zariadenia. Konfigurácia démona a smerovacia tabuľka sa musia zhodnúť tak na identifikátore, ako aj na cieľoch, a ani jedna druhú nedodáva.

Držte IKE a ESP mimo trasy tunela

Predvolená trasa ukazujúca do zariadenia XFRM zachytí zapuzdrené pakety aj prevádzku, ktorú nesú. Výsledkom je slučka: brána sa pokúša poslať svoje ESP cez tunel, ktorý má ESP postaviť.

Riešením je konkrétnejšia trasa pre vonkajšiu adresu partnera cez fyzické rozhranie, ktorá porazí predvolenú, pretože zodpovedá viacerým bitom. Smerovanie založené na značkách robí to isté, keď niekoľko tunelov zdieľa jednu tabuľku, a strongSwan dokumentuje oba postupy pre nasadenia založené na trasách.

Čokoľvek si vyberiete, overte, že vonkajší paket odchádza nezapuzdrený. Rýchlou kontrolou je ping na vonkajšiu adresu partnera po zdvihnutí tunela; ak to zlyhá, kým rozhranie beží, podozrievajte zachytenie a nie dostupnosť. Rovnaká úvaha platí pre port IKE, pretože vlastná UDP prevádzka démona nesmie byť smerovaná do zariadenia, ktoré sa pokúša vytvoriť.

Skontrolujte počítadlá na dvoch miestach, kým obviníte šifrovanie

Počítadlá rozhrania a počítadlá stavu merajú rôzne fázy. Pakety smerované do zariadenia zvyšujú počítadlo zariadenia, aj keď žiadny stav nezodpovedá, zatiaľ čo počítadlá stavu sa hýbu iba pre prevádzku, ktorá bola skutočne zapuzdrená.

Prečítajte oboje a potom prečítajte pohľad démona na podradenú asociáciu:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Rastúce počítadlá zariadenia s prázdnym výstupom stavu znamenajú, že smerovanie funguje a politika nezodpovedá, zvyčajne chyba identifikátora alebo selektora. Rastúce počítadlá stavu, kým vzdialená strana nič nehlási, znamenajú, že pakety odchádzajú, ale nedorazia alebo neprejdú autentifikáciou, čo ukazuje na cestu alebo konfiguráciu partnera. Uvedená podradená asociácia s nulovou prevádzkou je problém selektora na jednom konci, nie pokazená šifra.

Rozhodnite, kto inštaluje trasy

Dvaja vlastníci jednej smerovacej tabuľky sú obvyklým zdrojom flappingu. Ak démon inštaluje trasy automaticky, váš správca siete nesmie tiež inštalovať predvolenú trasu cez to isté zariadenie, a ručná trasa pridaná štartovacím skriptom bude odstránená pri ďalšej rekonfigurácii démona.

Vyberte jedného vlastníka a zapíšte to. Keď trasy vlastní démon, držte štartovací skript mimo tabuľky a nechajte definíciu spojenia opísať selektory prevádzky. Keď ich vlastní správca siete, vypnite automatickú inštaláciu a prijmite, že démon neopraví chýbajúcu trasu pri opätovnom pripojení.

Pravidlá presmerovania a firewallu sú samostatné rozhodnutie navrch, pretože brána, ktorá prepúšťa prevádzku iných hostiteľov, potrebuje oboje. IPsec založený na trasách robí túto prevádzku ľahko vyjadriteľnou bežnými nástrojmi smerovania; nečiní vrstvu politiky voliteľnou.