Gaaritaanka macmiil IKEv2 cinwaanka IP fudud ee loo qoondeeyay

Irrid waa in ay bilaabto xiriir ku socda kombuyuutar la xiriira iyada iyada oo loo marayo IKEv2, iyada oo isticmaalaysa cinwaanka fudud ee loo qoondeeyay macmiilkaas. Tunnel-ku wuu furan yahay, macmiilku wuxuu gaaraa wax kasta oo ka dambeeya irridda, jihada ka soo horjeedana weli way guuldarraystaa. Ismaandhaafkaas waa caadi: siyaasadda lagu heshiiyay waxay sharraxaysaa cinwaannada isku hadli kara, ma aha dhinaca bilaabi kara. Saddex wax waa in ay is waafaqaan ka hor inta codsiga irridda bilaabay uu shaqeeyo.

Tunnel-ku ma hagaajiyo cinwaanka isha

CHILD SA waxay daboolaa laba dooro oo taraafik ah, mid dhinac kasta, waxayna ogolaataa taraafik labada jiho ee labadaas. Wax wax kama sheegto dhinaca kuwa kale ee furay is-dhaafsiga IKE marka hore. Irrid markii hore dhegeysan jirtay tunnel-ka weli waxay diri kartaa baakadda ugu horreysa ee barnaamijka, haddii isha iyo meesha loo socdo ee la doortay ay ku dhacaan doorayaasha rakiban. Marka codsigu ka soo baxo interface-ka khaldan, si fudud kuma habboona tunnel-ka.

Jidka loo maro macmiilka waa lagama maarmaan mana ku filna. Siyaasadda waa in ay aqbasho isha aad dhab ahaan isticmaashay.

Akhri siyaasadda la rakibay, ee ma aha faylka habaynta

Ka bilow isku-xirka firfircoon iyo doorayaashiisa, sababtoo ah qoondaynta firfircoon waxay beddeshaa waxa kernel-ka ku rakiban.

ipsec statusall
ip xfrm policy

Soo-saarka xaaladdu waxay sheegtaa xiriirka, cinwaanka fudud ee la qoondeeyay iyo doorayaasha hadda ansax ka ah dhinacaas. Dump-ka siyaasaddu waxay tusaa isla doorayaashaas sida xaaladda kernel-ka, waana taas oo doorashada baakadaha dhab ahaan la tashado. Isbarbardhig doorashada dhinaca irridda iyo isha ay barnaamijkaagu isticmaali doono, sababtoo ah is-waafaqa la'aantu si degdeg ah ayay u sharraxaysaa guuldarrada. Akhri cinwaanka hadda ee macmiilka ee ha akhrin mid ka mid ah fadhi hore, sababtoo ah VIP dib loo qoondeeyay waxay burinaysaa siyaasaddii hore.

Macmiilku waa in uu dhegeystaa meesha baakaddu timaado

Xitaa siyaasad qumman waxay gaartaa deked xiran marka adeeggu ku xidhmo loopback oo keliya. Dhegeystuhu waa in uu ku jiraa cinwaanka la qoondeeyay ama cinwaan maxalli ah oo guud.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Liiska socket-yada waxay tusaa haddii dekeddu ku xidhan tahay cinwaanka fudud, qawaaniinta derbiguna waxay tusaan haddii xiriiro cusub laga aqbalo isha la ilaaliyay. Qaanuun loo qoray xiriiro hore u jiray ma aqbalaan xiriir ay irriddu bilaabayso. Hayso xaqiijinta adeegga laftiisa, sababtoo ah imaatinka tunnel-ka waxay kaliya caddeyneysaa shabakadda baakaddu ka timid. Macmiilka ka dambeeya NAT-kiisa weli uma baahna gudbinta dekedda soo-galka, sababtoo ah codsiyadani waxay ku socdaan gudaha tunnel-ka jira.

Tijaabi jihada cusub si gaar ah

Codsiga guulaysta ee macmiil-ilaa-server marnaba ma tijaabiyo jidkan. Samee codsiga irridda kadib oo fiiri labada daraf.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Raadinta jidku waxay ka jawaabtaa isha iyo interface-ka irriddu isticmaali lahayd, waana qiimaha ay siyaasaddu aqbasho. Duubistu waa in ay tusaa codsiga oo ka baxaya gudaha ESP ee ma aha sida TCP caadi ah interface-ka dadweynaha. Macmiilka, duub taraafikga la furay si aad u xaqiijiso imaatinka iyo haddii adeeggu ka jawaabay. Haddii codsigu ku lunto ESP la'aan xarigga, ka shaki cinwaanka isha ka hor derbiga macmiilka.

Ku celi tijaabada kadib beddelka fure ama dib u xiriir, sababtoo ah VIP wuu is beddeli karaa. Jidka kaliya ilaa fadhiga xiga shaqeeya ma aha jid shaqeeya.