Politika IPsec po gëlltit trafikun tuaj lokal: si ta dalloni

Printeri mbi tavolinë ndalon së përgjigjuri në momentin që tuneli ngrihet, dhe asgjë në konfigurimin e tunelit nuk e përmend printerin. Zakonisht ka ndodhur që një interval i mbrojtur është shkruar aq i gjerë sa ta përfshijë atë, kështu që makina tani përpiqet të kriptojë trafik që duhej të mbetej në segmentin lokal. Leximi i politikës së instaluar shpjegon kapjen; ngushtimi i saj në vendin e duhur e mban trafikun e largët të mbrojtur. Udhëtimi nga kërkesa që dështon te politika që përputhet zgjat disa minuta.

Ndiqni rrjedhën përpara se të ndryshoni një përzgjedhës

Filloni nga kërkesa që dështon dhe shkruani katër vlera: adresa burimore që përdor makina, destinacioni i saktë, rruga që zgjedh kerneli dhe politika që përputhet me atë çift.

Këto katër fakte vendosin nëse kapja është e qëllimshme apo aksidentale. Një destinacion që bie brenda përzgjedhësit të largët mbrohet sipas dizajnit, edhe nëse dizajni ishte i gabuar. Një destinacion jashtë tij që kapet gjithsesi do të thotë se po përputhet diçka tjetër, dhe ndryshimi i përzgjedhësit nuk do të ndihmojë. Të dyja rastet janë të zakonshme, dhe një komandë i dallon ato.

Bëjeni këtë përpara se të modifikoni gjithçka, sepse rasti interesant është nënrrjeti lokal që mbivendoset me një interval privat që lidhja mbron. Prefikset e njohura si 192.168.0.0/16 shfaqen në shumë rrjete, dhe një përzgjedhës i shkruar për njërin prej tyre mund të mbulojë në heshtje tuajin.

Tre lloje lokalësh që sillen ndryshe

Një destinacion i caktuar për këtë host, një destinacion në të njëjtën lidhje dhe një destinacion pas një ndërfaqeje tjetër janë tre raste të ndryshme. Kerneli e trajton secilin ndryshe kur vendos nëse trafiku ka nevojë për mbrojtje.

Trafiku i gjeneruar nga vetë porta nuk është i njëjtë me trafikun e përcjellë nga një klient. Një politikë që duket e saktë për trafikun e përcjellë mund të kapë vetë sesionin e menaxhimit të portës, dhe kështu një administrator humbet aksesin ndërsa rregullon tunelin.

Zakoni i dobishëm është të emërtoni rastin me zë të lartë: a vjen ky paket nga unë, shkon në lidhjen time apo kalon përmes meje? Çdo përgjigje tregon një vend tjetër për t’u ngushtuar. Shkrimi i rastit gjithashtu pengon personin tjetër të përsërisë të njëjtin punë.

Kur intervali i mbrojtur është një hapësirë e tërë private, të tre rastet mund të bien brenda saj njëkohësisht, dhe simptomi bëhet një makinë që nuk arrin asgjë përveç pikës fundore të tunelit.

Lexoni politikën e instaluar, jo skedarin

Skedarët e konfigurimit përshkruajnë qëllimin; kerneli mban politikat që përputhen vërtet. Tregojini të dyja dhe trajtojeni mospërputhjen si gjetjen e parë.

Këto komanda tregojnë rrugën e zgjedhur për destinacionin dhe politikat e instaluara në çdo drejtim:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Rruga ju tregon se cilën ndërfaqe do të përdorte paketa. Lista e politikave ju tregon nëse më pas aplikohet një shabllon mbi atë paketë, dhe lista e lidhjeve tregon cilat përzgjedhës daemoni mendon se ka instaluar. Nëse destinacioni shfaqet në një përzgjedhës të largët, e keni gjetur kapjen pa hamendësuar.

Ngushtoni përzgjedhësin ose anashkaloni destinacionin

Ka dy riparime të mbështetura dhe ato u përgjigjen pyetjeve të ndryshme. Ngushtimi i përzgjedhësit thotë se kjo lidhje mbron vetëm një interval më të vogël, gjë që është e saktë kur intervali më i gjerë ishte gabim. Shtimi i një anashkalimi thotë se ky destinacion specifik nuk duhet të mbrohet kurrë, gjë që është e saktë kur intervali i mbrojtur është vërtet i gjerë dhe një destinacion është përjashtimi.

Zgjidhni të parin kur mundeni, sepse një përzgjedhës më i vogël është më i lehtë për t’u arsyetuar dhe shfaqet në përkufizimin e lidhjes. Zgjidhni të dytin kur intervali i gjerë është i qëllimshëm dhe përjashtimi është një host ose nënrrjet i vetëm që mund ta emërtoni.

Të dyja i përkasin konfigurimit që zotëron lidhjen. Një rregull i kohës së ekzekutimit i shtuar me dorë zhduket në rilidhjen tjetër, dhe dështimi kthehet në një moment kur askush nuk e mban mend zgjidhjen e përkohshme.

Përjashtime të sigurta ndaj reinstalimit

Pas ndryshimit, përsëritni të njëjtën kërkesë të padëmshme dhe shikoni të njëjtët numërues. Destinacioni lokal duhet të përgjigjet, dhe destinacioni i largët i synuar duhet të vazhdojë të tregojë trafik të kriptuar.

Këto dy kontrolle konfirmojnë se përjashtimi mbijetoi dhe mbrojtja jo:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Pastaj shkëputni dhe rilidhni tunelin me qëllim, dhe përsëritni të dyja. Një përjashtim që funksionon përpara rilidhjes dhe dështon pas saj është aplikuar në shtresën e gabuar, dhe kjo është mënyra më e zakonshme se si ky problem kthehet.