Sababta ay marin OpenVPN ugu guuldareysato siyaasadda XFRM ee strongSwan

Baakadaha waxay raaci karaan marin OpenVPN oo wali lagu qabsan karaa siyaasad IPsec, isku darkaasna wuxuu ka muuqdaa sida khalad marin laga eego dhinac kasta marka laga reebo dhinaca saxda ah. Linux wuxuu xalliyaa marin ka dibna la tashadaa keydka siyaasadaha amniga oo gooni ah, sidaas darteed marin gaar ah oo loo socdo mawjaddu ma rido siyaasad XFRM oo u dhiganta. Calaamadda muuqata waa taraafik ka baxa server-ka oo aan waligiis gaarin, halka labada tunnel ay isku sheegaan caafimaad. Saddex xul ayaa tan xalliya, midda aad dooratona waxay ku xiran tahay labada waddo midda loogu talagalay inay qaaddo horgalahaas.

Laba go'aan, mid ma aha

Doorashada marinka waxay ka jawaabtaa su'aal cidhiidhi ah: hopka xiga iyo cinwaanka isha kee ayaa qaadi doona baakaddan. Keydka siyaasadaha amniga wuxuu ka jawaabaa mid kale: baakaddan ma u baahan tahay ilaalin IPsec, iyo doorayaasha kee hoostooda. Labaduba waxay u shaqeeyaan isla baakad, iyo fulinta midda koowaad wax kama sheegto midda labaad. Sidaas darteed beddelka mitir ama ku darista marin joogto ah waxay calaamadda u reebi kartaa mid aan la taaban.

Dooraye ballaaran oo IPsec ah waa sababta caadiga ah. Siyaasad ilaalinaysa 172.16.0.0/12 waxay sidoo kale daboolaysaa 172.20.8.0/24, oo maamuluhu laga yaabo inuu doonayo inuu ku gaaro tunnelka OpenVPN. Ujeeddadu waxay ku jirtaa kaliya shaxda marinka, keydka siyaasadahana waligiis kama uusan ogeyn.

U tixgeli tan khilaaf u dhexeeya laba waddo oo ilaalin ah oo la habeeyay, ee ma aha tartan u dhexeeya laba mitir. Hagaajintu waxay ka tirsan tahay qaybta lagu habeeyay baaxad khaldan.

Akhri marinka uu kernel-ku dhab ahaan doorto

Ku bilow raadinta uu kernel-ku sameeyo, oo ay ku jirto cinwaanka isha iyo qayb kasta oo siyaasad ah oo u beddeli karta shax kale. Marin ku jira shaxda ugu weyn ayaa laga yaabaa inaan waligiis la tixgelin haddii qayb hore ay doorato shax kale, iswaafajinta horgalaha ugu dheerina waxay khusaysaa kaliya shaxda ay qayb doorato.

ip rule show
ip route show table all
ip route get 172.20.8.20 from 10.44.7.15

Amarka ugu dambeeya ayaa muhiim ah, sababtoo ah wuxuu daabacaa marinka la doortay oo ay la socoto cinwaanka isha ee kernel-ku isticmaali lahaa. Isbarbardhig soo-saarkaas iyo doorayaha ay siyaasadda IPsec u dhiganto. Marka marinku u jeedo interface OpenVPN oo siyaasaddu wali u dhiganto isla lammaanahaas, waxaad dib u soo saartay khilaafka adigoon qiyaasin.

Ka ilaali dumps-ka cinwaanno aan la xiriirin ka hor inta aysan gaarin ticket. Shaxda marinka ee server wax soo saar waxay qaaddaa topology gudaha ah, oo kaliya safafka ka jawaaba su'aasha ayaa mudan in la dhejiyo.

Akhri sidoo kale siyaasadda khuseysa

Liiska siyaasadaha wuxuu muujinayaa jihada, doorayaasha iyo template-ka go'aamiya waxa ku dhaca baakad u dhigma. Marka hore akhri jihada bixitaanka, ka dibna dhinaca soo-gelidda ee taraafikga soo noqodka, sababtoo ah ka-reeb mid-jiho ah wuxuu abuuraa xiriir bilaabma oo aan waligiis dhammaan.

ip -s xfrm policy
swanctl --list-sas

Isbarbardhig doorayaasha liiska iyo horgalayaasha ay xiriirku ka wada hadleen. Dami sii-dejinta marinka ee strongSwan ma tirito siyaasadahaas, beddelka mitirna ma beddelo lammaanaha isha iyo meesha ay siyaasaddu ilaalinayso. Labadan hagaajin oo been ah ayaa mudan in hore loo reebo, sababtoo ah dadku waxay marka hore isku dayaan iyaga.

Haddii liisku aanu lahayn siyaasad ku saabsan horgalaha aad filaysay, dhibaatadu meel kale ayay ku taal oo shaxda marinku waxay u badan tahay inay run sheegto. Haddii uu ku jiro siyaasad ballaaran oo daboolaysa horgalaha, waxaad heshay qabashada.

Saddex xul marka labada waddo ay sharci yihiin

Cidhiidhinta doorayaha IPsec waa xulka ugu nadiifka ah marka horgalaha ballaaran uu ahaa fududayn aan ahayn shuruud. Dhimista doorayaha taraafikga fog ilaa subnet-yada dhab ahaan ka dambeeya IPsec waxay meesha ka saartaa khilaafka server kasta isku mar, kuna kacdo wada-hadal furin oo cusub ee ma aha qayb cusub.

Ka-reebka gudbinta waa xulka qalliinka marka doorayaha ballaaran waa inuu sii jiro. strongSwan wuxuu taageeraa xiriir gooni ah oo child-kiisu isticmaalo habka pass, taas oo u sheegta kernel-ka in taraafikga u dhigma aan IPsec ku habboonayn inuu ka shaqeeyo. Cinwaanka fog ee loopback wuxuu ka ilaaliyaa xiriirkaas in loo doorto asxaabta soo gelaya, doorayaashuna waa inay sharraxaan lammaanaha dhabta ah ee la oggolaaday ee aan ahayn wax walba.

connections {
    openvpn-exception {
        remote_addrs = 127.0.0.1
        children {
            openvpn-exception {
                local_ts = 10.44.7.0/24
                remote_ts = 172.20.8.0/24
                mode = pass
                start_action = trap
            }
        }
    }
}

Tusaalooyinka habaynta strongSwan waxay diiwaangeliyaan noocan siyaasadda iyo caadada saaxiibka loopback. Xulka saddexaad waa naqshad ku salaysan marin oo leh interface-yo XFRM, taas oo siyaasadda ku xidha taraafik lagu maro interface magac leh halkii ay ka ahaan lahayd dooraye caalami ah. Waa guuritaan ee ma aha hagaajin, taraafikuna wali waa inuu buuxiyaa doorayaasha la wada hadlay.

Caddee ka-reebka adigoon daciifin inta kale

Ka dib markaad rarto isbeddelka, tijaabi ka-reebka iyo meel caadi ah oo ay tahay inay sii ahaato mid la ilaaliyay. Hubi labada jiho, ka dibna soo dhig tunnelka OpenVPN oo xaqiiji waxa ku dhaca taraafikga ka-reeban. Ka-reeb si aamusnaan ah u dira horgalahaas si furan marka tunnelku xiran yahay waa go'aan siyaasadeed oo aad si ula kac ah u qaadato, ee ma aha inaad ku ogaato inta lagu jiro dhacdo.

Qor horgalaha kee ayaa isticmaala waddo kee iyo sababta. Haddii kale injineerka xiga ee arka dooraye ballaaran ayaa dib u furi doona isla baaritaankaas, jawaabtuna waxay ku sii jeedaa fariin commit oo aan cidina akhrin.