Përzgjedhësit e trafikut IPsec: çfarë mbulojnë dhe çfarë jo

Përzgjedhësit e trafikut emërtojnë trafikun e brendshëm që mbron një marrëveshje IPsec, dhe çifti negociohet në vend që të supozohet. Dy skaje mund të vërtetojnë njëri-tjetrin në mënyrë të përsosur dhe prapëseprapë të mos bien dakord se cilat paketa i përkasin brendësisë së tunelit. Ky mospajtim është i padukshëm në statusin e lidhjes, i cili zakonisht raporton një tunel të shëndetshëm. Leximi i përzgjedhësve nga të dy skajet dhe më pas ndjekja e një destinacioni e gjen më shpejt se çdo sasi redaktimi i politikës.

Lexojini nga të dy skajet

Secili skaj e përshkruan anën e vet si lokale dhe anën tjetër si të largët. I njëjti çift prefiksesh pra shfaqet i këmbyer në të dy konfigurimet, dhe kjo është e saktë, jo kontradiktore. Kthimi i perspektivës është gjëja e parë që duhet bërë kur një marrëveshje funksionale duket e gabuar në letër. Krahasimi i dy skedarëve krah për krah pa i këmbyer prodhon një mospërputhje që nuk ekziston.

Vlerat nuk janë gjithmonë nënrrjeta të vetme. Përzgjedhësit IKEv2 mund të mbajnë intervalet e adresave, numrat e protokollit dhe intervalet e porteve, dhe kështu një politikë mbron një shërbim në vend të një rrjeti të tërë. Një përzgjedhës më i ngushtë se trafiku i synuar prodhon një tunel që mbart disa destinacione dhe përjashton të tjerat në heshtje.

Shkruani të dy anët në një tabelë të vetme përpara se të ndryshoni diçka. Ky ushtrim zakonisht e zgjidh çështjen pa prekur një skedar konfigurimi.

Ngushtimi është vendimi i përgjigjësit

Iniciatori propozon, dhe përgjigjësi mund të pranojë vetëm një nënbashkësi. IKEv2 lejon përgjigjësin të ngushtojë përzgjedhësit e ofruar të trafikut, dhe rezultati i ngushtuar është ai që instalohet në të vërtetë. Leximi i konfigurimit të iniciatorit përshkruan pra një ofertë, jo marrëveshjen.

Kjo është arsyeja pse një nënrrjet i shtuar te klienti mund të prodhojë një tunel funksional që prapëseprapë refuzon destinacionin e ri. Serveri e ngushtoi ofertën deri aty ku e lejon politika e tij, ndërsa skedari i klientit ende liston intervalin më të gjerë. Vetëm gjendja e negociuar tregon të vërtetën: në Linux, ip xfrm policy dhe lista e child SA në dokumentacionin IKEv2 të strongSwan raportojnë atë që u instalua dhe jo atë që u kërkua. Kur të dy nuk përputhen, politika e përgjigjësit është ajo që duhet ndryshuar.

Një ofertë e refuzuar është një simptomë tjetër nga një e ngushtuar. Refuzimi shfaqet në regjistrin e negociatave dhe nuk lë fare asnjë shoqërim child.

Ndiqni një destinacion nga fillimi në fund

Zgjidhni një destinacion real plus adresën e burimit që klienti do të përdorte për të, pastaj ndiqni atë çift përmes tre vendimeve të pavarura. Rruga zgjedh një shteg, përzgjedhësi vendos nëse ai shteg është i mbrojtur, dhe muri i zjarrit vendos nëse paketa lejohet. Secili mund të dështojë vetë, dhe një përzgjedhës i gjerë nuk rregullon asnjë nga të tjerët.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Kërkesa e rrugës emërton ndërfaqen dhe adresën e burimit që do të mbanin paketën. Lista e politikave tregon nëse ekziston një politikë tuneli që përputhet për atë çift, duke përfshirë drejtimin dhe nivelin e saj. Lista SA tregon përzgjedhësit child të negociuar së bashku me numëruesit, prandaj një shoqërim child me zero paketa pasi u provua trafiku është nënshkrimi i përzgjedhësve që përjashtojnë atë që dërgohet. Tre komanda, tre përgjigje të ndryshme, dhe vetëm njëra prej tyre shpjegon një rënie të heshtur.

Nëse numëruesit child lëvizin ndërsa aplikacioni ende dështon, problemi qëndron përtej tunelit. Kjo e zhvendos hetimin te dëgjuesi ose muri i zjarrit i strehuesit të largët dhe jo te përzgjedhësit.

Mbani të ndarë dy objektivat

Mbrojtja e një nënrrjeti zyre dhe dërgimi i të gjithë shfletimit përmes një daljeje të largët janë kërkesa të ndryshme me përzgjedhës të ndryshëm. Një profil i ndërtuar për njërën rrallë i shkon tjetrës, dhe përzierja e tyre prodhon ose rrjedhje ose ndarje të thyer. Zgjerimi i intervalit të mbrojtur nënkupton ndryshimin e të dy skajeve dhe të politikës së tyre të përcjelljes, sepse një ndryshim i njëanshëm bëhet një ofertë e refuzuar. Kjo është mënyra më e zakonshme se si një tunel funksional ndalon së punuari pas një redaktimi të vogël.

Përzgjedhësit përshkruajnë mbulimin kriptografik, rrugët zgjedhin shtigje, dhe aplikacionet zbatojnë lejet e tyre. Një tunel që mbulon gjithçka prapëseprapë nuk mund të arrijë një shërbim të lidhur me loopback, dhe një rrugë drejt tunelit prapëseprapë kërkon një përzgjedhës që përfshin destinacionin. Kontrolloni të tre kundrejt të njëjtës kërkesë testuese, dhe mospërputhja emërton vetveten.