Od strongSwana do AWS Site-to-Site: zakaj Child SA ne izbere ničesar

Tunel IKE je lahko aktiven, medtem ko podrejena asociacija izključuje vaša podomrežja. Najprej primerjajte lokalni in oddaljeni CIDR v AWS z leftsubnet in rightsubnet.

Konzola prikazuje up, strongSwan poroča o vzpostavljeni asociaciji IKE, paketi pa vseeno ne prispejo. Naslednja stvar za primerjavo ni vnaprej deljeni ključ, temveč par predpon, za katere vsaka stran meni, da jih tunel ščiti. Pojdite skozi spodnje preverbe po vrsti, ker prvi dve odločita, ali lahko tunel sploh prenaša vaš promet.

Prevedite imena AWS v izraze strongSwana

AWS opisuje povezavo s strani naročnika: naslov naročniških vrat in lokalni CIDR pripadata vam, oddaljeni CIDR pa pripada VPC. strongSwan imenuje oba konca left in right, vaša predpona je v leftsubnet, predpona VPC pa v rightsubnet. Če en par obrnete, dobite tunel, ki pogaja in izbere napačen promet.

Prenesite konfiguracijo, ki jo AWS ustvari za povezavo, in jo obravnavajte kot referenco prav za to povezavo, vključno z naslovi in predponami tunela. Če pri ustvarjanju obe polji CIDR pustite prazni, storitev uporabi privzeto vrednost 0.0.0.0/0 na vsaki strani. Usmerjevalnik, nastavljen z ozko predpono, se ji potem nikoli ne bo ujemal, zato polji izpolnite ali pa izbirnik namerno razširite.

Neujemanje tukaj je videti kot napaka usmerjanja, pa ni.

Pritrdite naslov, ki ga AWS v resnici vidi

Usmerjevalnik za NAT lahko pošilja IKE z vmesnika, za katerega se druga stran nikoli ni naučila. Naslov prehoda, zabeležen v AWS, mora biti tisti, ki ga AWS opazuje v omrežju, usmerjevalnik pa mora biti pritrjen na isti lokalni naslov, namesto da bi sledil privzeti poti.

conn %default
    local_addrs = 203.0.113.10

V strongSwana local_addrs izbere izvorni naslov za IKE, starejše konfiguracije OpenSwan pa isto idejo zapišejo kot left. Usmerite ga na vmesnik z javnim naslovom, nato na sami napravi NAT preverite, da UDP 500 in 4500 dosežeta tega gostitelja, ker pravilo, ki je ostalo od prejšnjega usmerjevalnika, ju tiho zavrže. Pravilen par izbirnikov z napačnim izvornim naslovom vseeno ne uspe, dnevnik pa bo okrivil predlog. Prav ta zavajajoča sled je razlog, da si izvorni naslov zasluži lastno preverbo.

Potrdite pravilo posredovanja, namesto da bi ga predpostavili, ker pravilo, ki je bilo pravilno za prejšnji usmerjevalnik, pogosto ostane.

Obravnavajte fazo 1 in fazo 2 ločeno

AWS prikazuje možnosti IKE in ESP kot ločena seznama. Nabor IKE, ki ga sprejmeta obe strani, ne pove ničesar o predlogu ESP, ker sta seznama neodvisna. Preberite oba iz ustvarjene konfiguracije in ju primerjajte enega za drugim.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Skladnja se med izvedbami ne prenaša. Par, ki deluje v OpenSwanu, na primer phase2alg=aes_gcm s ike=aes256-sha1;modp1024, je treba prevesti v obliko esp= in ike= strongSwana, imena algoritmov pa se razlikujejo. Ker GCM preverja pristnost med šifriranjem, ne potrebuje ločene transformacije celovitosti, za razliko od nabora CBC, seznanjenega s SHA. Vrstica faze 2, prilepljena iz enega demona v drugega brez prevoda, povzroči zavrnitev, ki se bere kot neujemanje izbirnikov.

Preverite podrejeno asociacijo, ne indikatorja tunela

Če se povezava naloži, podrejena asociacija pa ne nastane, je bil zavrnjen bodisi predlog bodisi izbirniki. Če podrejena asociacija nastane in njeni izbirniki izključujejo vaše predpone, se paketi filtrirajo, preden dosežejo tunel. Indikator konzole pokriva samo raven IKE, zato ne more povedati, katera od obeh stvari se je zgodila.

ipsec statusall

Poiščite podrejeno varnostno asociacijo in preberite izbirnike prometa, natisnjene ob njej, nato jih primerjajte s predponami iz ustvarjene konfiguracije.

Preizkusite z gostitelja znotraj lokalne predpone na gostitelja znotraj predpone VPC in preverite povratno pot ter morebitno varnostno skupino ali omrežni ACL na strani AWS. Pravilni izbirniki paketa ne zaščitijo pred poznejšim zavrženjem.

Ko po ujemanju izbirnikov še vedno ne deluje

Potrdite, da pot na obeh straneh vodi do tunela, nato potrdite, da naprava NAT ne prepisuje prometa tako, kot politika ne pričakuje. Tunel, ki temelji na politiki, primerja naslove paketov, zato prevod, uporabljen po odločitvi politike, spremeni izid.

Zabeležite en paket na vhodu in enega na izhodu na vsaki strani, preden spremenite še en predlog.

Zapišite izbirnike, predloga faze 1 in faze 2 ter izvorni naslov v zahtevek. Te štiri vrednosti pojasnijo večino napak site-to-site brez klica.

Sorodni članki