IPsec me shumë nënrrjeta humb trafikun e kthimit? Numëroni reqid-të

Trafiku largohet nga një vend dhe nuk kthehet kurrë, të dy portat raportojnë një negociatë të përfunduar, dhe e vetmja gjurmë është një grumbull paketash dalëse pa përgjigje. Në një pikë fundore Linux, shkaku i zakonshëm nuk është forca e kriptimit, MTU-ja ose tabela e rrugëtimit. Është granulariteti i zërave të politikës dhe numri që lidh çdo politikë me një shoqatë sigurie. Procedura më poshtë lexon këto dy baza përpara se të prekë ndonjë gjë tjetër.

Ndani simptomën përpara se të ndryshoni ndonjë gjë

Një dështim në një drejtim me një negociatë IKE të përfunduar e kufizon problemin në rrugën e të dhënave. Ose politika dalëse përputhej dhe përgjigja u hodh, ose përgjigja nuk mbërriti kurrë sepse pala tjetër nuk kishte me çfarë ta dërgonte. Nga një aplikacion të dyja duken njësoj, dhe bazat xfrm i dallojnë.

Mos filloni me MTU-në. Një MTU e gabuar prodhon ngecje dhe simptoma fragmentimi, jo një ndarje të pastër drejtimi me numërues dalës në rritje.

Lexoni bazën e politikave dhe bazën e gjendjeve

Në Linux kriptimin e vendosin zërat e politikës, prandaj një politikë përputhëse, jo një rrugë, e fut një paketë në tunel. Ekzekutoni ip xfrm policy për të parë përzgjedhësit, drejtimin, përparësinë dhe shabllonin e çdo zëri, dhe ip xfrm state për të parë shoqatat e vendosura me reqid-të e tyre. Politika dhe shoqata lidhen nga ai reqid.

Shikoni të tre drejtimet. Dalëse dhe hyrëse mbulojnë trafikun drejt dhe nga ky host; drejtimi i përcjelljes ka rëndësi kur hosti rrugëton për të tjerët. Një zë që mungon ose nuk përputhet në një drejtim shpjegon një rezultat në një drejtim pa asnjë defekt kriptografik.

Asimetria klasike: një reqid për disa nënrrjeta

Një dështim i shpeshtë vjen nga një partner që instalon politika për të gjitha nënrrjetat e negociuara nën një reqid të vetëm, gjë që ndodh me generate_policy require të racoon. Trafiku atëherë del përmes shoqatës së vendosur së fundmi, ndërsa pala tjetër mban një shoqatë të veçantë për çdo nënrrjet. Përgjigjet mbërrijnë në një shoqatë reqid-i i së cilës nuk identifikon politikën që duhet t'i pranojë ato, dhe bërthama i hedh pas dekriptimit.

Korrigjimi është një ndryshim konfigurimi, jo një rregull muri zjarri: generate_policy unique; i jep çdo politike reqid-in e vet, kështu që shoqatat për politikë të partnerit kanë partnerë përputhës. Zbatojeni, rinegocioni dhe numëroni reqid-të e ndryshëm për nënrrjetat që prisni përpara se të shpallni sukses.

Nëse dy nënrrjeta ndajnë ende një reqid ndërsa pala tjetër pret dy, keni gjetur asimetrinë. Shënoni hartëzimin, sepse është prova që ndryshimi i radhës e korrigjoi ose e ruajti.

Përzgjedhësit vijnë nga negocimi, jo nga konfigurimi juaj

Intervalet e mbrojtura janë ajo për të cilën u morën vesh të dy skajet, jo ajo që kërkoi njëra palë. Një klient që ofron një çift hostesh kundrejt një intervali të gjerë të largët merr versionin e ngushtuar të portës, dhe klienti nuk mund ta zgjerojë atë. Lexoni përzgjedhësit e instaluar në vend të atyre në skedarin tuaj lokal.

Kur qëllimi është i kundërt, të mbahet një destinacion jashtë tunelit, shtoni një politikë anashkalimi me numër më të ulët përparësie që të fitojë mbi zërin e instaluar automatikisht. Një politikë pa shabllon lejon tekst të thjeshtë, gjë që e bën atë një përjashtim të qëllimshëm për një regjistër ndryshimesh dhe jo një hap korrigjimi.

Verifikoni në këtë rend, dhe dini si të ktheheni

Listoni politikat për çdo nënrrjet në të dy drejtimet, duke përfshirë përcjelljen nëse hosti rrugëton. Numëroni reqid-të e ndryshëm dhe konfirmoni një për politikë në anën që e pret. Krahasoni përzgjedhësit e instaluar me ata të negociuar. Rilexoni numëruesit për shoqatë pas një ripërtëritjeje çelësi, sepse shoqata që ekzaminuat mund të jetë zhdukur tashmë. Kontrolloni rrugët së fundmi, sepse një rrugë që mungon drejt nënrrjetit të largët prodhon një simptomë të ngjashme në një drejtim me numërues politikë të pastër.

Përpara se të ndryshoni partnerin, ruani daljen aktuale të të dy komandave xfrm. Nëse cilësimi i ri nuk e rivendos drejtimin e kthimit, rikthimi i asaj daljeje është një kthim më i shpejtë sesa rindërtimi i tunelit nga kujtesa, dhe e mban krahasimin të ndershëm.