Politika IPsec požira vaš lokalni promet: kako to prepoznati

Tiskalnik na mizi preneha odgovarjati v trenutku, ko se tunel dvigne, in nič v konfiguraciji tunela ne omenja tiskalnika. Običajno se je zgodilo, da je bil zaščiteni razpon zapisan tako široko, da ga vključuje, zato stroj zdaj poskuša šifrirati promet, ki bi moral ostati v lokalnem segmentu. Branje nameščene politike pojasni prestrezanje; zožitev na pravem mestu ohrani oddaljeni promet zaščiten. Pot od neuspešne zahteve do ustrezne politike traja nekaj minut.

Sledite toku, preden spremenite selektor

Začnite pri neuspešni zahtevi in zapišite štiri vrednosti: naslov vira, ki ga uporablja stroj, natančen cilj, pot, ki jo izbere jedro, in politiko, ki ustreza temu paru.

Ta štiri dejstva odločijo, ali je prestrezanje namerno ali naključno. Cilj, ki pade v oddaljeni selektor, je zaščiten po zasnovi, tudi če je bila zasnova napačna. Cilj zunaj njega, ki se kljub temu prestreže, pomeni, da se ujema nekaj drugega, in sprememba selektorja ne bo pomagala. Oba primera sta pogosta in razlikuje ju en sam ukaz.

Naredite to, preden karkoli uredite, ker je zanimiv primer lokalno podomrežje, ki se prekriva z zasebnim razponom, ki ga povezava ščiti. Znane predpone, kot je 192.168.0.0/16, se pojavljajo v mnogih omrežjih, in selektor, napisan za eno od njih, lahko tiho pokrije vašega.

Tri vrste lokalnega, ki se obnašajo različno

Cilj, dodeljen temu gostitelju, cilj na isti povezavi in cilj za drugim vmesnikom so trije različni primeri. Jedro vsakega obravnava drugače, ko odloča, ali promet potrebuje zaščito.

Tudi promet, ki ga ustvari prehod sam, ni enak prometu, posredovanemu od odjemalca. Politika, ki je videti pravilna za posredovani promet, lahko prestreže lastno upravljalno sejo prehoda, in tako skrbnik izgubi dostop, medtem ko popravlja tunel.

Koristna navada je, da primer izgovorite na glas: ali ta paket prihaja od mene, gre na mojo povezavo ali skozi mene? Vsak odgovor kaže na drugo mesto za zožitev. Zapis primera tudi prepreči, da bi naslednja oseba ponovila isto delo.

Ko je zaščiteni razpon celoten zasebni prostor, lahko vsi trije primeri padejo vanj hkrati, in simptom postane stroj, ki ne doseže ničesar razen končne točke tunela.

Preberite nameščeno politiko, ne datoteke

Konfiguracijske datoteke opisujejo namen; jedro drži politike, ki se dejansko ujemajo. Prikažite oboje in razhajanje obravnavajte kot prvo ugotovitev.

Ti ukazi prikažejo izbrano pot do cilja in nameščene politike v vsaki smeri:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Pot vam pove, kateri vmesnik bi paket uporabil. Seznam politik vam pove, ali se na ta paket nato uporabi predloga, in seznam povezav pokaže, katere selektorje meni, da jih je nameščeni demon namestil. Če se cilj pojavi v oddaljenem selektorju, ste prestrezanje našli brez ugibanja.

Zožite selektor ali obidite cilj

Obstajata dve podprti popravili in odgovarjata na različni vprašanji. Zožitev selektorja pravi, da ta povezava ščiti le manjši razpon, kar je pravilno, ko je bil širši razpon napaka. Dodajanje obida pravi, da ta točno določen cilj ne sme biti nikoli zaščiten, kar je pravilno, ko je zaščiteni razpon res širok in je en cilj izjema.

Izberite prvo, ko lahko, ker je manjši selektor lažje razumeti in se pojavi v definiciji povezave. Izberite drugo, ko je širok razpon nameren in je izjema en sam gostitelj ali podomrežje, ki ga lahko poimenujete.

Oba spadata v konfiguracijo, ki ima povezavo. Pravilo med izvajanjem, dodano ročno, izgine ob naslednji ponovni povezavi, in napaka se vrne v trenutku, ko se nihče več ne spomni obhoda.

Izjeme, varne ob ponovni namestitvi

Po spremembi ponovite isto nedolžno zahtevo in poglejte iste števce. Lokalni cilj bi moral odgovoriti, predvideni oddaljeni cilj pa bi moral še vedno kazati šifriran promet.

Ti dve preveritvi potrdita, da je izjema preživela in zaščita ne:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Nato namerno prekinite in znova vzpostavite tunel ter ponovite oboje. Izjema, ki deluje pred ponovno povezavo in po njej ne uspe, je bila uporabljena na napačnem sloju, in to je najpogostejši način, kako se ta težava vrne.