Selektorji prometa IPsec: kaj pokrivajo in kaj ne

Selektorji prometa poimenujejo notranji promet, ki ga ščiti dogovor IPsec, in par se dogovarja, ne predpostavlja. Dve končni točki se lahko medsebojno popolnoma overita in se vseeno ne strinjata, kateri paketi sodijo v notranjost tunela. To nesoglasje je v stanju povezave nevidno, saj to običajno poroča o zdravem tunelu. Branje selektorjev z obeh koncev in nato sledenje eni ciljni točki ga najde hitreje kot kakršno koli urejanje politike.

Preberite jih z obeh koncev

Vsaka končna točka opisuje svojo stran kot lokalno in drugo stran kot oddaljeno. Zato se isti par predpon v obeh konfiguracijah pojavi zamenjan, in to je pravilno, ne protislovno. Obrniti perspektivo je prva stvar, ki jo je treba narediti, ko se delujoč dogovor na papirju zdi napačen. Primerjanje dveh datotek drugo ob drugi brez zamenjave ustvari neskladje, ki ne obstaja.

Vrednosti niso vedno posamezne podomrežja. Selektorji IKEv2 lahko nosijo razpone naslovov, številke protokolov in razpone vrat, in tako politika ščiti eno storitev namesto celotnega omrežja. Selektor, ožji od predvidenega prometa, ustvari tunel, ki prenaša nekatere cilje in druge tiho izključi.

Preden karkoli spremenite, zapišite obe strani v eno tabelo. Ta vaja običajno razreši vprašanje, ne da bi se dotaknili konfiguracijske datoteke.

Zoženje je odločitev odzivnika

Pobudnik predlaga, odzivnik pa lahko sprejme le podmnožico. IKEv2 dovoljuje odzivniku, da zoži ponujene selektorje prometa, in zožen rezultat je tisto, kar se dejansko namesti. Branje konfiguracije pobudnika torej opisuje ponudbo, ne dogovora.

Zato lahko podomrežje, dodano odjemalcu, ustvari delujoč tunel, ki novi cilj vseeno zavrne. Strežnik je ponudbo zožil na tisto, kar njegova politika dovoljuje, medtem ko datoteka odjemalca še vedno navaja širši razpon. Samo dogovorjeno stanje pokaže resnico: v Linuxu ip xfrm policy in seznam child SA v dokumentaciji IKEv2 strongSwana poročata, kaj je bilo nameščeno in ne, kaj je bilo zahtevano. Ko se dva razhajata, je treba spremeniti politiko odzivnika.

Zavrnjena ponudba je drugačen simptom od zožene. Zavrnitev se pojavi v dnevniku pogajanj in ne pusti nobene child povezave.

Sledite eni ciljni točki od začetka do konca

Izberite resnično ciljno točko in izvorni naslov, ki bi ga odjemalec uporabil zanjo, nato ta par peljite skozi tri neodvisne odločitve. Pot izbere pot, selektor odloči, ali je ta pot zaščitena, požarni zid pa odloči, ali je paket dovoljen. Vsak lahko odpove sam zase, in širok selektor ne popravi nobenega od ostalih.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Poizvedba poti navede vmesnik in izvorni naslov, ki bi prenašala paket. Seznam politik pokaže, ali za ta par obstaja ustrezna tunelska politika, vključno z njeno smerjo in ravnijo. Seznam SA pokaže dogovorjene selektorje child skupaj s števci, zato je child povezava z nič paketi po poskusu prometa podpis selektorjev, ki izključujejo to, kar se pošilja. Trije ukazi, trije različni odgovori, in le eden od njih razloži tiho izgubo.

Če se child števci premikajo, medtem ko aplikacija še vedno odpoveduje, je težava onkraj tunela. To premakne preiskavo k poslušalcu ali požarnemu zidu oddaljenega gostitelja in ne k selektorjem.

Držite cilja ločeno

Zaščita pisarniškega podomrežja in pošiljanje vsega brskanja skozi oddaljen izhod sta različni zahtevi z različnimi selektorji. Profil, zgrajen za eno, redko ustreza drugemu, njuno mešanje pa povzroči bodisi uhajanje bodisi zlomljeno delitev. Razširitev zaščitenega razpona pomeni spremembo obeh končnih točk in njune politike posredovanja, ker enostranska sprememba postane zavrnjena ponudba. To je najpogostejši način, da delujoč tunel po majhni spremembi preneha delovati.

Selektorji opisujejo kriptografsko pokritost, poti izbirajo smeri, aplikacije pa uveljavljajo svoja dovoljenja. Tunel, ki pokriva vse, vseeno ne doseže storitve, vezane na loopback, pot v tunel pa vseeno potrebuje selektor, ki vključuje cilj. Preverite vse tri na isti testni zahtevi in neskladje se bo samo poimenovalo.