Predvolená trasa XFRM pohltila IKE a ESP: zachovajte vonkajšiu cestu

Prevádzka je chránená, tunel beží, a potom zomrie pri ďalšej obnove kľúčov. Predvolená trasa cez rozhranie XFRM opisovala prevádzku, ktorú ste chceli chrániť. Pohltila aj pakety potrebné na pokračovanie ochrany.

Dve zúčastnené destinácie nie sú zameniteľné. Smerovanie to musí povedať výslovne.

Kam sa vyhľadávanie partnera skutočne dostane

Zaznamenajte aktívne pravidlá, tabuľku s trasou XFRM a verejnú adresu partnera. Potom sa pozrite na cestu, ktorú by vonkajšie spojenie podniklo so svojím skutočným zdrojom a značkou. Všeobecná destinácia o tejto riadiacej ceste nič nehovorí. Užitočnú odpoveď dáva iba skutočný zdroj a značka.

Úspešné počiatočné spojenie tiež veľa nedokazuje. Zlyhanie sa často objaví až po tom, ako inštalácia trasy zmení odpoveď. Štart uspeje, prvá obnova už nie.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ak vyhľadávanie partnera vyústi do rozhrania XFRM, vonkajšie pakety sa smerujú do tunela, ktorý samy stavajú. To je slučka, viditeľná jediným príkazom.

Možnosti vylúčenia na modernej bráne

Dokumentácia strongSwan o VPN založenej na smerovaní uvádza dve praktické odpovede. Jedna označí IKE a ESP, aby sa na ne pravidlo odkazujúce na tabuľku XFRM nevzťahovalo. Druhá ponechá trasu k partnerovi alebo vylúčenie, na ktoré sa vyhľadávanie ešte dostane.

Vyberte tú, ktorú vaša sada pravidiel dokáže vyjadriť bez vedľajších účinkov. Značka je čistá, keď zvyšok zásobníka už značky používa. Je rizikom, keď tá istá maska znamená v inom pravidle niečo iné. Oba typy paketov každopádne potrebujú ošetrenie.

Označenie iba IKE nechá dátové pakety na zachytenej ceste. Vznikne tunel, ktorý vykoná handshake a potom nič nenesie.

Značka je jeden bit v fwmark paketu, ktorý si na bráne nič iné nenárokuje: 0x1 s maskou 0x1 je obvyklá voľba a musí byť nastavená na dvoch miestach, aby vylúčenie fungovalo. Charon ju potrebuje na sockete IKE a nastavenia prichádzajúcej a odchádzajúcej značky podriadeného spojenia potrebujú rovnakú hodnotu, aby aj zapuzdrené pakety odchádzali označené. Maska 0x1 namiesto 0xffffffff necháva zvyšné bity voľné, čo je dôležité, keď iný podsystém už označuje pakety na tom istom hostiteľovi. Keď je nastavené oboje, pravidlo sa zapíše ako vylúčenie, takže označené pakety preskočia tabuľku s trasou XFRM a prepadnú do hlavnej tabuľky:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Potom prečítajte odpoveď s aplikovanou značkou. Bez nej skúmate cestu, ktorou ide chránená prevádzka, čo je opak otázky tejto časti.

Čo automatická inštalácia predpokladá o zostavení

Automatická inštalácia trasy pre rozhranie XFRM závisí od verzie strongSwan a jej konfigurácie. ID rozhrania, nainštalovaná zásada aj asociácia musia odkazovať na zamýšľané objekty. Nezhoda sa prejaví ako trasa, ktorá ticho ukazuje niekam skutočne.

Kopírovanie čísla tabuľky alebo masky značky z inej brány je spôsob, akým začínajú kolízie. Najprv skontrolujte, čo ju už používa. Kolízia ovplyvní prevádzku ďaleko za tunelom, ktorý ste chceli zmeniť, a symptóm málokedy ukazuje na kópiu.

Zmeny adresy partnera patria do návrhu. Trasa k hostiteľovi pre včerajšiu adresu nie je plán obnovy koncového bodu, kým značka túto zmenu prežije.

Sledujte prvú obnovu

Skontrolujte vonkajšiu cestu po tom, ako sú chránené trasy nainštalované, nie predtým. Potom sledujte ďalšiu obnovu a jednu výmenu aplikácie. Zlyhanie sa zvyčajne objaví pri tomto prechode, nie pri štarte.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Dočasné odstránenie chránenej predvolenej trasy zvyčajne obnoví konektivitu. Výsledok je diagnostický, nie konečný.

Cieľom je stabilné rozdelenie medzi vnútornou prevádzkou a vonkajšími paketmi, ktoré ju nesú. Zapíšte zvolený mechanizmus a jeho tabuľku alebo značku do poznámok brány. Inak ďalší človek, ktorý sa pravidiel dotkne, slučku vráti.