IPsec политика гута ваш локални саобраћај: како то препознати

Штампач на столу престаје да одговара у тренутку када се тунел подигне, и ништа у конфигурацији тунела не помиње штампач. Обично се догодило то да је заштићени опсег записан довољно широко да га укључи, па машина сада покушава да шифрује саобраћај који је требало да остане на локалном сегменту. Читање инсталиране политике објашњава пресретање; сужавање на правом месту одржава удаљени саобраћај заштићеним. Пут од неуспешног захтева до одговарајуће политике траје неколико минута.

Пратите ток пре него што промените селектор

Почните од неуспешног захтева и запишите четири вредности: изворну адресу коју машина користи, тачно одредиште, руту коју бира језгро и политику која одговара том пару.

Те четири чињенице одлучују да ли је пресретање намерно или случајно. Одредиште које пада унутар удаљеног селектора заштићено је по дизајну, чак и ако је дизајн био погрешан. Одредиште изван њега које се ипак пресретне значи да се подудара нешто друго, и промена селектора неће помоћи. Оба случаја су честа, а разликује их једна једина команда.

Учините то пре него што било шта уредите, јер је занимљив случај локална подмрежа која се преклапа са приватним опсегом који веза штити. Познати префикси попут 192.168.0.0/16 појављују се у многим мрежама, а селектор написан за један од њих може тихо да покрије ваш.

Три врсте локалног које се понашају различито

Одредиште додељено овом хосту, одредиште на истој вези и одредиште иза другог интерфејса су три различита случаја. Језгро сваки обрађује другачије када одлучује да ли саобраћају треба заштита.

Ни саобраћај који генерише сам гејтвеј није исти као саобраћај прослеђен од клијента. Политика која изгледа исправно за прослеђени саобраћај може да пресретне сопствену административну сесију гејтвеја, и тако администратор изгуби приступ док поправља тунел.

Корисна навика је да се случај изговори наглас: долази ли овај пакет од мене, иде ли на моју везу или пролази кроз мене? Сваки одговор указује на друго место за сужавање. Записивање случаја такође спречава следећу особу да понови исти посао.

Када је заштићени опсег цео приватни простор, сва три случаја могу пасти у њега одједном, а симптом постаје машина која не достиже ништа осим крајње тачке тунела.

Читајте инсталирану политику, не датотеку

Конфигурационе датотеке описују намеру; језгро држи политике које се стварно подударају. Прикажите обоје и неслагање третирајте као први налаз.

Ове команде приказују изабрану руту до одредишта и инсталиране политике у сваком смеру:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Рута вам каже који би интерфејс пакет користио. Листа политика вам каже да ли се затим на тај пакет примењује шаблон, а листа веза показује које селекторе демон сматра инсталираним. Ако се одредиште појави у удаљеном селектору, пронашли сте пресретање без нагађања.

Сузите селектор или заобиђите одредиште

Постоје два подржана поправка и они одговарају на различита питања. Сужавање селектора каже да ова веза штити само мањи опсег, што је исправно када је шири опсег био грешка. Додавање заобилажења каже да ово конкретно одредиште никада не сме бити заштићено, што је исправно када је заштићени опсег заиста широк и једно одредиште је изузетак.

Изаберите први када можете, јер је мањи селектор лакше разумети и види се у дефиницији везе. Изаберите други када је широки опсег намеран, а изузетак је један хост или подмрежа коју можете именовати.

Оба припадају конфигурацији која поседује везу. Правило у време извршавања додато ручно нестаје при следећем поновном повезивању, а квар се враћа у тренутку када се нико више не сећа заобилазног решења.

Изузеци безбедни при поновном инсталирању

Након промене поновите исти безопасни захтев и погледајте исте бројаче. Локално одредиште би требало да одговори, а жељено удаљено одредиште би требало да и даље показује шифрирани саобраћај.

Ове две провере потврђују да је изузетак преживео, а заштита није:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Затим намерно прекините и поново повежите тунел и поновите обе. Изузетак који ради пре поновног повезивања, а после не успева, примењен је на погрешном слоју, и то је најчешћи начин на који се овај проблем враћа.