Rruga e paracaktuar e XFRM gëlltiti IKE dhe ESP: mbani shtegun e jashtëm

Një politikë që mbron gjithçka mund të kapë edhe paketat që mbajnë tunelin. Shënoni IKE dhe ESP, ose mbani një rrugë drejt partnerit.

Trafiku është i mbrojtur, tuneli është lart, dhe pastaj vdes në rinovimin tjetër të çelësave. Një rrugë e paracaktuar përmes ndërfaqes XFRM përshkruante trafikun që dëshironit të mbronit. Ajo gëlltiti edhe paketat e nevojshme për të vazhduar mbrojtjen.

Dy destinacionet e përfshira nuk janë të këmbyeshme. Rrugëtimi duhet ta thotë këtë në mënyrë eksplicite.

Ku shkon në të vërtetë kërkimi i partnerit

Regjistroni rregullat aktive, tabelën që mban rrugën XFRM dhe adresën publike të partnerit. Pastaj shikoni shtegun që do të merrte lidhja e jashtme me burimin dhe shenjën e saj reale. Një destinacion i përgjithshëm nuk ju thotë asgjë për atë shteg kontrolli. Vetëm burimi dhe shenja reale japin një përgjigje të dobishme.

Një lidhje fillestare e suksesshme provon gjithashtu pak. Dështimi shpesh shfaqet pasi një instalim rruge ndryshon përgjigjen. Nisja ka sukses, pastaj rinovimi i parë jo.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Nëse kërkimi për partnerin përfundon në ndërfaqen XFRM, paketat e jashtme rrugëtohen në tunelin që ata vetë ndërtojnë. Ky është cikli, i dukshëm me një komandë të vetme.

Opsionet e përjashtimit në një portë moderne

Dokumentacioni i strongSwan për VPN të bazuar në rrugëtim paraqet dy përgjigje praktike. Njëra shënon IKE dhe ESP që rregulli drejt tabelës XFRM të mos përputhet me ta. Tjetra lë një rrugë partneri ose përjashtim që kërkimi ende mund të arrijë.

Zgjidhni atë që grupi juaj i rregullave mund të shprehë pa efekte anësore. Shenja është e pastër kur pjesa tjetër e stivës tashmë përdor shenja. Është rrezik kur e njëjta maskë do të thotë diçka tjetër në një rregull tjetër. Të dy llojet e paketave kanë nevojë për trajtimin gjithsesi.

Shënimi vetëm i IKE lë paketat e të dhënave në shtegun e kapur. Kjo prodhon një tunel që bën shtrëngimin e duarve dhe pastaj nuk mbart asgjë.

Shenja është një bit në fwmark të paketës që asgjë tjetër në portë nuk e kërkon: 0x1 me maskë 0x1 është zgjedhja e zakonshme, dhe duhet vendosur në dy vende që përjashtimi të funksionojë. Charon e ka të nevojshme në soketin IKE, dhe cilësimet e shenjës hyrëse dhe dalëse të lidhjes fëmijë kanë nevojë për të njëjtën vlerë që edhe paketat e inkapsuluara të dalin të shënuara. Një maskë 0x1 në vend të 0xffffffff i lë bitat e mbetur të lirë, gjë që ka rëndësi kur një nënsistem tjetër tashmë shënon paketa në të njëjtin host. Kur të dyja janë vendosur, rregulli shkruhet si përjashtim, kështu që paketat e shënuara kalojnë tabelën që mban rrugën XFRM dhe bien në tabelën kryesore:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Pastaj lexoni përgjigjen me shenjën të aplikuar. Pa të ju ekzaminoni shtegun që merr trafiku i mbrojtur, që është e kundërta e pyetjes së këtij seksioni.

Çfarë supozon instalimi automatik për ndërtimin

Instalimi automatik i rrugës për një ndërfaqe XFRM varet nga versioni i strongSwan dhe konfigurimi i tij. ID e ndërfaqes, politika e instaluar dhe asociacioni duhet të gjitha t'i referohen objekteve të synuara. Mospërputhja shfaqet si një rrugë që tregon në heshtje diku real.

Kopjimi i një numri tabele ose maske shenje nga një portë tjetër është mënyra se si fillojnë përplasjet. Së pari kontrolloni çfarë e përdor tashmë. Një përplasje ndikon në trafik shumë përtej tunelit që dëshironit të ndryshonit, dhe simptoma rrallë tregon kopjen.

Ndryshimet e adresës së partnerit janë pjesë e dizajnit. Një rrugë hosti për adresën e djeshme nuk është plan rikuperimi i pikës fundore, ndërsa një shenjë i mbijeton asaj ndryshimi.

Vëzhgoni rinovimin e parë

Kontrolloni shtegun e jashtëm pasi rrugët e mbrojtura të jenë instaluar, jo më parë. Pastaj vëzhgoni rinovimin tjetër dhe një shkëmbim aplikacioni. Dështimi zakonisht shfaqet në atë tranzicion dhe jo në nisje.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Heqja e përkohshme e rrugës së paracaktuar të mbrojtur zakonisht rikthen lidhjen. Ai rezultat është diagnostik, jo përfundimtar.

Qëllimi është një ndarje e qëndrueshme midis trafikut të brendshëm dhe paketave të jashtme që e mbartin. Shkruani mekanizmin e zgjedhur dhe tabelën ose shenjën e tij në shënimet e portës. Përndryshe personi tjetër që prek rregullat do të rikthejë ciklin.

Artikuj të ngjashëm