Pse një politikë sigurie IPsec nuk është një hyrje në tabelën e rrugëzimit

Dërgoni ping në 10.20.0.5 përmes tunelit dhe asgjë nuk kthehet, ndërsa tabela e rrugëzimit këmbëngul se ai nënrrjet është i arritshëm. Rrugëzimi dhe IPsec përgjigjen pyetjeve të ndryshme, dhe vetëm njëra prej tyre ka të bëjë me arritshmërinë. Kërkimi përpara zgjedh një shteg, më pas baza e të dhënave e politikës së sigurisë vendos nëse ai shteg duhet mbrojtur, lënë ashtu siç është apo refuzuar. Kur të dy nuk pajtohen, paketa vdes në heshtje, prandaj lexojini në atë rend.

Filloni me kërkimin, jo me tabelën

Pyetni kernelin çfarë do të bënte vërtet: ip route get 10.20.0.5 printon rrugën e zgjedhur, ndërfaqen dalëse dhe adresën burimore që do të përdorte. Një prefiks, një rregull politike, një shenjë ose një burim i preferuar mund ta ndryshojnë atë përgjigje, prandaj kërkimi i drejtpërdrejtë mund të lexojë tabelën me sy.

Testoni një destinacion brenda intervalit të mbrojtur, jo adresën e portës. Arritja e portës në anën tjetër provon vetëm se ekziston një rrugë; nuk thotë asgjë për nënrrjetin që ju nevojitet vërtet. Më pas konfirmoni se ndërfaqja e zgjedhur nga kërkimi është ajo që prisni të përdorë tuneli.

Përputhni përzgjedhësit në të dyja anët

Baza e politikës ka hyrjet e veta, dhe secila emërton një drejtim, një burim, një destinacion dhe një protokoll, pastaj thotë çfarë duhet të ndodhë me paketat që përputhen. Përdorni ip xfrm policy për t'i listuar; flamujt tregojnë nëse veprimi është mbrojtje, anashkalim apo bllokim. Një politikë, përzgjedhësit e së cilës janë më të gjerë ose më të ngushtë se rrjedha e testit tuaj nuk do të përputhet me të, dhe paketa del e pambrojtur. Ky është defekti që po kërkoni, jo një rrugë që mungon.

Krahasoni vlerat aktuale: burimi, destinacioni, protokolli dhe portat. Nëse kërkimi zgjidhi një palë adresash ndërsa hyrja e politikës mbulon një tjetër, dy pamjet përshkruajnë trafik të ndryshëm. Riktheni të dyja me të njëjtin tupël përpara se të nxirrni një përfundim, përndryshe do të redaktoni një politikë që nuk ishte kurrë në shteg.

Përputhja e politikës nuk është gjendje e instaluar

Një politikë që përputhet thotë vetëm se paketa duhet të mbrohet; kernelit i duhet ende një asociacion sigurie për të kryer mbrojtjen. Listojini me ip xfrm state, ose me swanctl --list-sas kur strongSwan kryen negociatat, dhe lexoni përzgjedhësit dhe numëruesit në çdo hyrje.

Kur një politikë përputhet dhe asnjë asociacion nuk mbulon të njëjtët përzgjedhës, paketa hidhet poshtë në vend që të dërgohet në tekst të qartë. Ky është hedhja që duhet kërkuar kur tuneli është lart por një nënrrjet i vetëm dështon. Numëruesit thonë pjesën tjetër: një asociacion që nuk rritet kurrë nuk u zgjodh kurrë, ndërsa ai që rritet dhe përsëri përfundon në një hedhje tregon anën e largët. Rregullimi i përzgjedhësve dhe rinovimi i çelësave janë riparime të ndryshme, prandaj vendosni cilin ju nevojitet përpara se të prekni konfigurimin.

Çfarë kërkon ende një tunel i bazuar në rrugë

Një ndërfaqe XFRM e bën tunelin të duket si një pajisje në të cilën mund të rrugëzoni, gjë që është vërtet e dobishme. Nuk e heq politikën dhe gjendjen që vendosin çfarë ndodh pasi paketa arrin atje. Rruga kontribuon me një hop tjetër dhe asgjë më shumë.

Nëse pajisja ekziston dhe rruga tregon në të ndërsa asnjë asociacion nuk përputhet me përzgjedhësit e brendshëm, paketa hidhet poshtë, dhe asnjë sasi redaktimi rrugësh nuk prodhon çelësa ose përzgjedhës. Kontrolloni ndërfaqen me të njëjtin burim dhe destinacion që rrugëzuat, pastaj krahasoni atë me listën e gjendjeve.

Qartësoni pronësinë përpara se të redaktoni çdo gjë

Një firewall i hostit shton një vendim të tretë që asnjëra nga dy bazat e të dhënave nuk e njeh. Një rrugë e saktë plus një politikë që përputhet plus një asociacion i instaluar mund të përfundojnë përsëri në një paketë të hedhur, dhe aplikacioni raporton vetëm skadimin e kohës. Konfirmoni që firewali lejon trafikun e mbrojtur përpara se të fajësoni IPsec. Kapja në pajisjen e tunelit dhe në ndërfaqen fizike tregon në cilën anë të kriptimit u zhduk paketa.

Pronësia e konfigurimit vendos nëse rregullimi juaj i mbijeton një rindezjeje. Një komponent mund të instalojë gjendje ndërsa një tjetër menaxhon rrugët, dhe një redaktim manual i të dytit mbishkruhet herën tjetër kur tuneli ngrihet. Ndryshoni konfigurimin pronar, pastaj lexoni përsëri të dyja pamjet; RFC 4301 i mban dy bazat e të dhënave të ndara kur duhet t'ia shpjegoni ndarjen dikujt tjetër.