Kako deluje IPsec na podlagi poti s vmesnikom XFRM

IPsec na podlagi poti usmerjevalni tabeli prepusti odločitev, ki so jo prej sprejemali izbirniki pravil. V Linuxu je del, ki to omogoča, vmesnik XFRM: navidezna naprava, katere promet se ujema s stanjem IPsec prek identifikatorja vmesnika in ne prek izbirnika. Ustvarjanje enega zahteva en ukaz in ne dokazuje ničesar o tem, ali predor obstaja. Naprava je kavelj med usmerjanjem in varnostno politiko, in obe strani tega kavlja morata biti konfigurirani, preden je karkoli zaščiteno.

Kaj naprava je in kaj ni

Vmesnik XFRM je ročaj za usmerjanje. Paketi, usmerjeni vanj, se ujemajo s pravilniki XFRM, ki se sklicujejo na isti identifikator vmesnika, in če obstajata pravilo in stanje, se zapakirajo. Brez tega vmesnik obstaja, števci mirujejo in promet gre nekam, kjer nima koristi.

To je prva diagnostična ločitev. Pot v napravo je dejstvo usmerjanja, nameščeno stanje je varnostno dejstvo, in naraščajoči števec na napravi ni ne eno ne drugo. Ko ljudje rečejo, da je predor gor, ker vmesnik kaže UP, opisujejo zastavice povezave navidezne naprave, ki nima lastnega partnerja. Zastavica pomeni, da je bila naprava ustvarjena in omogočena, nič več.

Še ena meja: identifikator vmesnika ni ime. Dve napravi s podobnimi imeni in različnimi identifikatorji si ne delita stanja, in povezava, konfigurirana z napačnim identifikatorjem, namesti stanje, ki ga nobena pot ne bo nikoli uporabila.

Zgradite enega v pravilnem vrstnem redu

Začnite z zunanjo napravo in številom, ki ga boste vstavili tudi v konfiguracijo demona. Primer uporablja eth0 kot zunanji vmesnik in 42 kot identifikator, naslova, ki ju morate zamenjati s svojima.

Dvignite napravo, nato potrdite identifikator, ki ga je zabeležilo jedro, preden se dotaknete konfiguracije VPN:

sudo ip link add xfrm0 type xfrm dev eth0 if_id 42
sudo ip link set xfrm0 up
ip -d link show xfrm0 | grep -o 'if_id [0-9]*'

Zdaj konfigurirajte povezavo v strongSwanu z istim identifikatorjem, saj mora demon namestiti pravila in stanja, ki se nanj sklicujejo. Nastavite lokalne in oddaljene izbirnike prometa na obseg, ki ga nameravate usmerjati, nato ta obseg usmerite v napravo. Konfiguracija demona in usmerjevalna tabela se morata ujemati tako glede identifikatorja kot glede ciljev, in nobena ne oskrbuje druge.

Držite IKE in ESP zunaj poti predora

Privzeta pot, usmerjena v napravo XFRM, ujame zapakirane pakete in promet, ki ga nosijo. Rezultat je zanka: prehod poskuša poslati svoj ESP skozi predor, ki naj bi ga ESP zgradil.

Rešitev je bolj specifična pot za zunanji naslov partnerja skozi fizični vmesnik, ki premaga privzeto, ker se ujema z več biti. Usmerjanje na podlagi oznak opravi isto delo, ko si več predorov deli eno tabelo, in strongSwan dokumentira oba pristopa za uvajanja na podlagi poti.

Karkoli izberete, preverite, da zunanji paket odide nezapakiran. Hiter pregled je ping zunanjega naslova partnerja po dvigu predora; če to spodleti, medtem ko je vmesnik gor, sumite na prestrezanje in ne na dosegljivost. Ista logika velja za vrata IKE, ker promet UDP samega demona ne sme biti usmerjen v napravo, ki jo poskuša vzpostaviti.

Preverite števce na dveh mestih, preden obtožite šifriranje

Števci vmesnika in števci stanja merijo različne faze. Paketi, usmerjeni v napravo, povečajo napravo tudi takrat, ko se nobeno stanje ne ujema, medtem ko se števci stanja premaknejo le za promet, ki je bil dejansko zapakiran.

Preberite oboje, nato preberite pogled demona na podrejeno povezavo:

ip -s link show xfrm0
sudo ip xfrm state list | grep -E 'src|proto|mode'
sudo swanctl --list-sas

Naraščanje števcev naprave s praznim izhodom stanja pomeni, da usmerjanje deluje in se pravilo ne ujema, običajno napaka identifikatorja ali izbirnika. Naraščanje števcev stanja, medtem ko oddaljena stran ničesar ne poroča, pomeni, da paketi odidejo, a ne prispejo ali ne opravijo overjanja, kar kaže na pot ali konfiguracijo partnerja. Našteta podrejena povezava brez prometa je težava izbirnika na enem koncu, ne pokvarjena šifra.

Odločite, kdo namešča poti

Dva lastnika ene usmerjevalne tabele sta običajen vir flappinga. Če demon namešča poti samodejno, vaš upravitelj omrežja ne sme tudi namestiti privzete poti skozi isto napravo, in ročna pot, ki jo doda zagonska skripta, bo odstranjena ob naslednji ponovni konfiguraciji demona.

Izberite enega lastnika in to zapišite. Ko so poti v lasti demona, držite zagonsko skripto zunaj tabele in pustite definiciji povezave, da opiše izbirnike prometa. Ko so v lasti upravitelja omrežja, onemogočite samodejno nameščanje in sprejmite, da demon ob ponovni povezavi ne bo popravil manjkajoče poti.

Pravila posredovanja in požarnega zidu so ločena odločitev nad tem, ker prehod, ki spusti promet drugih gostiteljev, potrebuje oboje. IPsec na podlagi poti naredi ta promet lahko izrazljiv z običajnimi orodji za usmerjanje; ne naredi plasti pravil neobvezne.