Privzeta pot XFRM je pogoltnila IKE in ESP: ohranite zunanjo pot

Politika, ki ščiti vse, lahko ujame tudi pakete, ki vzdržujejo tunel. Označite IKE in ESP ali pustite pot do partnerja.

Promet je zaščiten, tunel deluje, nato pa umre ob naslednji obnovi ključev. Privzeta pot skozi vmesnik XFRM je opisovala promet, ki ste ga želeli zaščititi. Pogoltnila je tudi pakete, potrebne za nadaljevanje zaščite.

Dva udeležena cilja nista zamenljiva. Usmerjanje mora to povedati izrecno.

Kam iskanje partnerja v resnici pride

Zabeležite aktivna pravila, tabelo s potjo XFRM in javni naslov partnerja. Nato poglejte pot, ki bi jo zunanja povezava ubrala s svojim resničnim virom in oznako. Splošen cilj ne pove ničesar o tej krmilni poti. Samo dejanski vir in oznaka dajeta koristen odgovor.

Uspešna začetna povezava tudi malo dokaže. Napaka se pogosto pojavi po tem, ko namestitev poti spremeni odgovor. Zagon uspe, prva obnova pa ne.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Če iskanje partnerja pristane v vmesniku XFRM, se zunanji paketi usmerijo v tunel, ki ga zgradijo sami. To je zanka, vidna z enim ukazom.

Možnosti izključitve na sodobnem prehodu

Dokumentacija strongSwan o VPN na osnovi usmerjanja navaja dva praktična odgovora. Eden označi IKE in ESP, da se pravilo na tabelo XFRM ne ujema z njima. Drugi pusti pot partnerja ali izključitev, do katere iskanje še seže.

Izberite tisto, ki jo vaš nabor pravil zmore izraziti brez stranskih učinkov. Oznaka je čista, ko preostali del sklada že uporablja oznake. Nevarna je, ko ista maska v drugem pravilu pomeni nekaj drugega. Oba tipa paketov v vsakem primeru potrebujeta obravnavo.

Označevanje samo IKE pusti podatkovne pakete na ujeti poti. To ustvari tunel, ki opravi rokovanje in nato ne prenaša ničesar.

Oznaka je en bit v fwmark paketa, ki si ga nič drugega na prehodu ne lasti: 0x1 z masko 0x1 je običajna izbira in mora biti nastavljena na dveh mestih, da izključitev deluje. Charon jo potrebuje na vtičnici IKE, nastavitve dohodne in odhodne oznake podrejene povezave pa potrebujejo isto vrednost, da tudi zapakirani paketi odhajajo označeni. Maska 0x1 namesto 0xffffffff pusti preostale bite proste, kar je pomembno, ko druga podsistema že označuje pakete na istem gostitelju. Ko sta nastavljena oba, se pravilo zapiše kot izključitev, zato označeni paketi preskočijo tabelo s potjo XFRM in padejo v glavno tabelo:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Nato preberite odgovor z uporabljeno oznako. Brez nje pregledujete pot, po kateri gre zaščiten promet, kar je nasprotje vprašanja tega razdelka.

Kaj samodejna namestitev predpostavlja o gradnji

Samodejna namestitev poti za vmesnik XFRM je odvisna od različice strongSwan in njene konfiguracije. ID vmesnika, nameščena politika in povezava se morajo vsi sklicevati na predvidene predmete. Neskladje se pokaže kot pot, ki tiho kaže nekam resnično.

Kopiranje številke tabele ali maske oznake z drugega prehoda je način, kako se začnejo trki. Najprej preverite, kaj jo že uporablja. Trk vpliva na promet daleč onkraj tunela, ki ste ga želeli spremeniti, in simptom le redko kaže na kopijo.

Spremembe naslova partnerja spadajo v zasnovo. Pot do gostitelja za včerajšnji naslov ni načrt obnovitve končne točke, medtem ko oznaka to spremembo preživi.

Opazujte prvo obnovo

Preverite zunanjo pot po namestitvi zaščitenih poti, ne prej. Nato opazujte naslednjo obnovo in eno izmenjavo aplikacije. Napaka se običajno pojavi ob tem prehodu in ne ob zagonu.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Začasna odstranitev zaščitene privzete poti običajno obnovi povezljivost. Rezultat je diagnostičen, ne dokončen.

Cilj je stabilna razdelitev med notranjim prometom in zunanjimi paketi, ki ga prenašajo. Zapišite izbrani mehanizem in njegovo tabelo ali oznako v opombe prehoda. Sicer bo naslednja oseba, ki se dotakne pravil, znova uvedla zanko.

Sorodni članki