Modaliteti trap i strongSwan: pse tuneli IPsec pret trafikun

Asnjë CHILD SA nuk shfaqet në daljen e statusit, tuneli duket i vdekur, dhe më pas një ping drejt nënrrjetit të largët e ngre. Në një konfigurim IPsec sipas kërkesës, ky sekuencë është projektimi, jo defekt. Një politikë trap instalon një përzgjedhës dhe pret, dhe paketa e parë që përputhet me të është ajo që nis IKE dhe negociatën e CHILD SA.

Një pjesë e konfuzionit është fjalori: „up“ përdoret për dy gjendje të ndryshme. Konfigurimi është i ngarkuar dhe politika e kernelit ekziston, por asociacioni i të dhënave jo. Një monitor që numëron vetëm SA aktive do të raportojë një faqe të shëndetshme si jashtë funksionit për sa kohë askush nuk dërgon trafik drejt saj.

Një tunel joaktiv sipas kërkesës nuk ka CHILD SA për të shfaqur

Një hyrje trap nuk vërteton asgjë në vetvete. I kërkon kernelit të mbajë një politikë për trafikun e zgjedhur dhe të ngrejë një acquisition kur një paketë ka nevojë për atë politikë. Daemoni merr acquisition, e përputh me përkufizimin child dhe negocion prej andej. Deri në atë moment nuk ka as IKE SA për të shfaqur, prandaj të dyja listat mund të jenë bosh njëkohësisht.

Ky rend e bën regjistrat të lexueshëm. Fillimisht vjen acquisition, më pas IKE_SA_INIT dhe IKE_AUTH, më pas CHILD SA. Nëse regjistri përfundon menjëherë pas acquisition, shkaktari funksionoi. Negociata dështoi, dhe pyetja tjetër është për kredencialet, propozimet ose arritshmërinë, jo për trap.

Me backend-in e kernelit Linux mund ta shihni politikën përpara se të ekzistojë çdo SA. Ekzekutoni ip xfrm policy dhe kërkoni përzgjedhësin me drejtim out dhe një shabllon që tregon lidhjen. Ai zë është gjendja sipas kërkesës, dhe prania e tij është gjëja e parë që duhet konfirmuar.

start_action vendos nëse diçka pret fare

Çdo child në swanctl.conf mban një start_action. start niset kur ngarkohet konfigurimi, trap instalon politikën dhe pret, dhe none e lë nisjen për diçka tjetër. Vetëm trap prodhon sjelljen „ping dhe ngrihet“ të përshkruar më sipër.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Dy përzgjedhësit e trafikut përcaktojnë çfarë llogaritet si interesante, dhe një paketë nga një host jashtë atyre prefikseve nuk e aktivizon trap; rrugëtohet si zakonisht. Zgjerimi i përzgjedhësve për ta bërë shkaktarin më të etur zgjeron edhe fushën që tuneli pretendon se mbron, prandaj nxirrni ata nga trafiku që vërtet synoni të kriptoni.

Referenca e swanctl.conf rendit vlerat e pranuara, së bashku me veprimet e veçanta close dhe DPD që rregullojnë çfarë ndodh pasi SA ekziston.

Zbuloni nëse shkaktari u aktivizua fare

Filloni me swanctl --list-conns dhe konfirmoni që child është i ngarkuar me veprimin e synuar. Më pas dërgoni një paketë nga një host brenda local_ts drejt një adrese brenda remote_ts dhe vëzhgoni swanctl --list-sas. Nëse dalja nuk ndryshon, asnjë acquisition nuk arriti te daemoni.

Dy arsye të zakonshme për një trap të heshtur: paketa iu nënshtrua source-NAT para se të godiste politikën dhe nuk përputhet më me local_ts, ose lidhja nuk u ngarkua kurrë për shkak të një gabimi sintakse ose kredencialesh. Ekzekutoni përsëri swanctl --load-all dhe lexoni daljen përpara se të prekni përzgjedhësit. Një lidhje që nuk u ngarkua nuk instalon politikë, kështu që trafiku nuk ka çfarë të aktivizojë.

Edhe drejtimi ka rëndësi: një trap i instaluar për trafik dalës nuk niset nga një paketë hyrëse. Nëse pala e largët duhet ta ngrejë tunelin, i duhet trap i vet, ose kësaj pale i duhet start.

Pritja për paketën e parë nuk është gjithmonë shkëmbimi i duhur

Seancat interaktive e ndiejnë koston e konfigurimit. Kërkesa e parë paguan shkëmbimin IKE dhe negociatën CHILD, dhe një klient me afat të shkurtër mund të dorëzohet përpara se SA të ekzistojë. Një start proaktiv e heq atë vonesë të paketës së parë. Por e mban tunelin ngritur për trafik që mund të mos arrijë kurrë.

Tre fakte e vendosin zgjedhjen: sa shpesh përdoret rruga, a ka kërkesa e parë afat të ngushtë dhe a është peer-i i arritshëm në nisje. Trafiku me grupe i rastësishëm dhe një peer që mund të jetë jashtë linje në nisje të dyja favorizojnë trap. Një klient i ndjeshëm ndaj vonesës dhe një peer gjithmonë i arritshëm favorizojnë start. Nëse të dyja palët mund të nisin, bihuni dakord se kush e zotëron shkaktarin që të mos keni negociata të dyfishta.

Një politikë e instaluar nuk është as garanci kundër rrjedhjeve. Nëse kërkesa është fail-closed, muri i zjarrit duhet të hedhë poshtë trafikun pa SA, dhe ai rregull jeton jashtë përkufizimit child.

Shkruani tre rreshtat që mbyllin debatin e radhës

Shkruani përzgjedhësit, veprimin e nisjes dhe daljen e komandës që tregon politikën e pranishme pa SA. Ata tre rreshta ndajnë „sipas kërkesës dhe joaktiv“ nga „nuk ngarkohet“ herën tjetër kur dikush raporton tunelin si jashtë funksionit. Kërkojnë një minutë për t'i regjistruar. Pa ata, i njëjti hetim fillon nga zeroja.

Testoni nga një host që është vërtet brenda përzgjedhësit. Një ping nga vetë routeri shpesh ndjek një rrugë tjetër dhe nuk provon asgjë për politikën që mbron nënrrjetin pas tij.