Doseganje odjemalca IKEv2 na njegovem dodeljenem virtualnem IP

Prehod mora začeti povezavo do prenosnika, ki je z njim povezan prek IKEv2, pri čemer uporabi virtualni naslov, dodeljen temu odjemalcu. Tunel je vzpostavljen, odjemalec doseže vse za prehodom, v nasprotna smer pa še vedno ne uspe. Ta asimetrija je običajna: dogovorjena politika opisuje, kateri naslovi se lahko pogovarjajo, ne pa, katera stran lahko začne. Tri stvari se morajo ujemati, preden zahteva, ki jo začne prehod, deluje.

Tunel ne popravi naslova vira

CHILD SA pokriva par selektorjev prometa, po enega na vsako stran, in dovoljuje promet v obeh smereh tega para. Ne pove ničesar o tem, kateri partner je prvi odprl izmenjavo IKE. Prehod, ki je prvotno poslušal za tunel, lahko še vedno pošlje prvi paket aplikacije, če izbrani vir in cilj padeta v nameščene selektorje. Ko zahteva odide z napačnega vmesnika, preprosto ni primerna za tunel.

Usmerjanje proti odjemalcu je nujno in ni dovolj. Politika mora dopustiti vir, ki ste ga dejansko uporabili.

Berite nameščeno politiko, ne konfiguracijske datoteke

Začnite pri aktivni asociaciji in njenih selektorjih, ker dinamična dodelitev spreminja, kaj je nameščeno v jedru.

ipsec statusall
ip xfrm policy

Izhod stanja poimenuje povezavo, dodeljeni virtualni naslov in selektorje, ki trenutno veljajo za tega partnerja. Izpis politike prikazuje iste selektorje kot stanje jedra, in prav tega izbira paketov dejansko upošteva. Primerjajte selektor na strani prehoda z virom, ki ga bo uporabila vaša aplikacija, ker neskladje takoj pojasni napako. Berite trenutni naslov odjemalca in ne naslova iz prejšnje seje, ker ponovno dodeljeni VIP razveljavi staro politiko.

Odjemalec mora poslušati tam, kamor pride paket

Tudi popolna politika doseže zaprta vrata, ko se storitev veže le na loopback. Poslušalec mora biti na dodeljenem naslovu ali na lokalnem nadomestnem naslovu.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Seznam vtičnic pokaže, ali je vrata povezana z virtualnim naslovom, pravila požarnega zidu pa, ali so nova povezave sprejete z zaščitenega vira. Pravilo, napisano za vzpostavljene povezave, ne dovoli povezave, ki jo začne prehod. Ohranite lastno preverjanje pristnosti storitve, ker prihod skozi tunel ugotovi le, iz katerega omrežja je paket prišel. Odjemalec za svojim NAT še vedno ne potrebuje posredovanja vhodnih vrat, ker te zahteve potujejo znotraj obstoječega tunela.

Preizkusite novo smer posebej

Delujoča zahteva od odjemalca do strežnika nikoli ne preizkusi te poti. Ustvarite zahtevo s prehoda in opazujte oba konca.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Iskanje poti odgovori, kateri vir in vmesnik bi uporabil prehod, in to je vrednost, ki jo mora politika dopustiti. Zajem bi moral pokazati, da zahteva odide znotraj ESP in ne kot navaden TCP na javnem vmesniku. Na odjemalcu zajemite dešifriran promet, da potrdite prihod in ali je storitev odgovorila. Če zahteva izgine brez ESP na povezavi, sumite na naslov vira pred požarnim zidom odjemalca.

Ponovite preizkus po zamenjavi ključev ali ponovni povezavi, ker se VIP lahko spremeni. Pot, ki deluje le do naslednje seje, ni delujoča pot.