Habka trap ee strongSwan: sababta tunnel-ka IPsec uu u sugayo trafficka

Tunnel IPsec oo aan firfircoonayn oo dalab ah ma muujiyo CHILD SA ilaa xirmo la jaanqaado siyaasaddiisa trap. Akhri xaaladda, hubi kiciyaha oo ogow goorta start ku habboon yahay.

Ma muuqdo CHILD SA oo ku jira natiijada xaaladda, tunnel-ku wuxuu u muuqdaa mid dhintay, ka dibna ping ku socda subnet-ka fog ayaa kiciya. Isku-dubbaridka IPsec-ka dalabka ah, isku-xiggaas waa naqshadda, ma aha cilad. Siyaasadda trap waxay rakibtaa dooraha oo sugtaa, xirmada ugu horreysa ee la jaanqaada ayaa bilaabta IKE iyo wada-hadalka CHILD SA.

Qayb ka mid ah jahwareerka waa ereyada: “up” waxaa loo adeegsadaa laba xaaladood oo kala duwan. Isku-dubbaridka waa la raray oo siyaasadda kernel-ka ayaa jirta, laakiin isku-xirka xogta ma jiro. Kormeeraha kaliya tiriyo SA-yada firfircoon wuxuu soo sheegayaa goob caafimaad leh sida mid hoos ah ilaa qof u diro traffick.

Tunnel-ka dalabka ah ee aan firfircoonayn ma haysto CHILD SA uu muujiyo

Gelinta trap keligeed ma xaqiijiso wax. Waxay kernel-ka ka codsataa inuu hayo siyaasad trafficka la doortay iyo inuu kiciyo acquisition marka xirmo u baahato siyaasaddaas. Daemon-ku wuxuu helaa acquisition, wuxuu la jaanqaadaa qeexidda child oo halkaas ka wada-hadlaa. Ilaa wakhtigaas ma jiro IKE SA la muujiyo sidoo kale, taas ayaa sababta labada liisba ay isku mar madhan yihiin.

Isku-xiggaas ayaa log-yada ka dhigaya kuwo la akhriyi karo. Marka hore acquisition ayaa yimaadda, ka dib IKE_SA_INIT iyo IKE_AUTH, ka dib CHILD SA. Haddii log-ku dhammaado isla markiiba acquisition-ka kadib, kiciyuhu wuu shaqeeyay. Wada-hadalku wuu guuldareystay, su'aasha xigtaana waxay ku saabsan tahay aqoonsiga, soo-jeedinta ama gaaritaanka, ma aha trap.

Linux kernel backend-ka waxaad arki kartaa siyaasadda ka hor inta aan SA jirin. Socodsii ip xfrm policy oo raadi dooraha jihada out iyo template u tilmaamaya xiriirka. Gelintaas waa xaaladda dalabka ah, oo jiritaankeedu waa waxa ugu horreeya ee la xaqiijiyo.

start_action wuxuu go'aamiyaa haddii waxba sugayaan

Child kasta oo ku jira swanctl.conf wuxuu qaataa start_action. start wuxuu bilaabmaa marka isku-dubbaridka la raro, trap wuxuu rakibaa siyaasadda oo sugaa, none na bilaabista wax kale u dhiibaa. Kaliya trap ayaa soo saara dabeecadda “ping oo wuu soo kacaa” ee kor lagu sharraxay.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Laba dooraha trafficka ayaa qeexaya waxa loo arko mid xiiso leh, xirmo ka timaadda martigeliyaha ka baxsan prefix-yadaas ma kiciso trap; waa la maraa sida caadiga ah. Ballaarinta doorayaasha si kiciyaha u noqdo mid aad u xiiseeya waxay sidoo kale ballaarisaa baaxadda tunnel-ku sheegto inuu ilaaliyo, sidaas darteed ka soo qaado trafficka aad runtii rabto inaad sireyso.

Halkan tixraaca swanctl.conf wuxuu taxayaa qiyamka la aqbalay, oo ay la socdaan ficillada close iyo DPD ee gooni ah ee xukuma waxa dhaca marka SA jiro.

Ogow haddii kiciyuhu kiciyay gabi ahaanba

Ku bilow swanctl --list-conns oo xaqiiji in child lagu raray ficilka aad u jeedsatay. Ka dib u dir hal xirmo martigeliyaha ku jira local_ts oo u socda cinwaan ku jira remote_ts oo fiiri swanctl --list-sas. Haddii natiijadu aanay isbeddelin, wax acquisition ah ma gaarin daemon-ka.

Laba sababood oo caadi ah oo trap aamusan: xirmada waxaa lagu sameeyay source-NAT ka hor inta aanay siyaasadda gaarin oo hadda ma jaanqaaddo local_ts, ama xiriirku waligiis ma raran sababo la xiriira qoraal ama khalad aqoonsi. Mar kale socodsii swanctl --load-all oo akhri natiijadeeda ka hor inta aanad taaban doorayaasha. Xiriirka aan raran ma rakibo siyaasad, sidaas darteed ma jiraan wax trafficku kiciyo.

Jihada sidoo kale waa muhiim: trap loo rakibay trafficka baxa kama bilaabmo xirmo soo gasha. Haddii dhinaca fog ay tahay inuu kiciyo tunnel-ka, wuxuu u baahan yahay trap u gaar ah, ama dhinacani wuxuu u baahan yahay start.

Sugitaanka xirmada ugu horreysa had iyo jeer ma aha is-weydaarsiga saxda ah

Kulamada is-dhexgalka ah waxay dareemaan kharashka habaynta. Codsi ugu horreeya wuxuu bixiyaa is-weydaarsiga IKE iyo wada-hadalka CHILD, macmiil waqti gaaban lehna wuu iska tagi karaa ka hor inta SA uusan jirin. start firfircoon ayaa meesha ka saara daahitaankaas xirmada ugu horreysa. Laakiin wuxuu tunnel u hayaa trafficka laga yaabo inuusan waligiis iman.

Saddex xaqiiqo ayaa go'aamiya doorashada: inta jeer ee wadada la isticmaalo, haddii codsiga ugu horreeya uu leeyahay waqti adag, iyo haddii peer-ka la gaari karo marka la bilaabayo. Trafficka dufcadda marmar ah iyo peer-ka laga yaabo inuu offline yahay marka la bilaabayo labaduba waxay taageeraan trap. Macmiilka xasaasiga ah ee daahitaanka iyo peer-ka had iyo jeer la gaari karo waxay taageeraan start. Haddii labada dhinac ay bilaabi karaan, ku heshiiya cidda leh kiciyaha si aad u hesho wada-hadal labanlaab ah.

Siyaasad la rakibay sidoo kale ma aha dammaanad ka-hortagga daadinta. Haddii shuruuddu tahay fail-closed, dab-demiska waa inuu tuuraa trafficka aan SA lahayn, qaybtaasna waxay ku nooshahay meel ka baxsan qeexidda child.

Qor saddexda sadar ee soo afjari doona doodda xigta

Qor doorayaasha, ficilka bilaabista iyo natiijada amarka ee muujinaya siyaasadda oo jirta iyada oo aan SA lahayn. Saddexdaas sadar waxay kala soocaan “dalab iyo aan firfircoonayn” iyo “ma raranayo” marka xigta ee qof soo sheego tunnel-ka inuu hoos yahay. Waxay qaataan hal daqiiqo in la qoro. Iyaga la'aan isla baaritaankaas ayaa laga bilaabaa eber.

Ka tijaabi martigeliye runtii ku jira dooraha. Ping ka yimaadda router-ka laftiisa wuxuu inta badan maraa waddo kale oo waxba ma caddeeyo siyaasadda ilaalinaysa subnet-ka ka dambeeya.

Maqaallo la xiriira