IPsec селектори саобраћаја: шта покривају, а шта не

Селектори саобраћаја именују унутрашњи саобраћај који IPsec споразум штити, а пар се договара, а не претпоставља. Две крајње тачке могу савршено да аутентификују једна другу и ипак да се не сложе око тога који пакети припадају унутрашњости тунела. То неслагање је невидљиво у стању везе, које обично пријављује здрав тунел. Читање селектора са оба краја и потом праћење једне дестинације налази га брже од било каквог уређивања политике.

Читајте их са оба краја

Свака крајња тачка описује своју страну као локалну, а другу страну као удаљену. Зато се исти пар префикса појављује замењен у две конфигурације, и то је тачно, а не противречно. Обртање перспективе је прво што треба урадити када радни споразум на папиру изгледа погрешно. Поређење два фајла један поред другог без њихове замене ствара несагласност која не постоји.

Вредности нису увек појединачне подмреже. IKEv2 селектори могу да носе опсеге адреса, бројеве протокола и опсеге портова, и тако политика штити једну услугу уместо целе мреже. Селектор ужи од предвиђеног саобраћаја ствара тунел који носи неке дестинације, а друге тихо искључује.

Упишите обе стране у једну табелу пре него што било шта промените. Ова вежба обично реши питање без дирања конфигурационог фајла.

Сужавање је одлука стране која одговара

Иницијатор предлаже, а страна која одговара може да прихвати само подскуп. IKEv2 дозвољава тој страни да сузи понуђене селекторе саобраћаја, и сужени резултат је оно што се заиста инсталира. Зато читање конфигурације иницијатора описује понуду, а не споразум.

Зато подмрежа додата клијенту може да створи радни тунел који ипак одбија нову дестинацију. Сервер је сузио понуду на оно што његова политика дозвољава, док фајл клијента још наводи шири опсег. Само договорено стање показује истину: на Linux-у ip xfrm policy и списак child SA у документацији за IKEv2 strongSwan-а пријављују шта је инсталирано, а не шта је затражено. Када се њих два разилазе, политику стране која одговара треба мењати.

Одбијена понуда је другачији симптом од сужене. Одбијање се појављује у дневнику преговора и не оставља никакву child асоцијацију.

Пратите једну дестинацију од почетка до краја

Изаберите стварну дестинацију и изворну адресу коју би клијент користио за њу, па проведите тај пар кроз три независне одлуке. Рута бира пут, селектор одлучује да ли је тај пут заштићен, а заштитни зид одлучује да ли је пакет дозвољен. Свако може да поднесе неуспех само за себе, а широк селектор не поправља ниједно од осталих.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Упит руте именује интерфејс и изворну адресу који би носили пакет. Списак политика показује да ли за тај пар постоји одговарајућа тунелска политика, укључујући њен смер и ниво. Списак SA показује договорене child селекторе заједно са бројачима, па је child асоцијација са нула пакета након покушаја саобраћаја потпис селектора који искључују оно што се шаље. Три команде, три различита одговора, и само један од њих објашњава тихо одбацивање.

Ако се child бројачи померају док апликација још не успева, проблем је иза тунела. То премешта истрагу на слушаоца или заштитни зид удаљеног хоста, а не на селекторе.

Држите два циља одвојено

Заштита канцеларијске подмреже и слање целог прегледања кроз удаљени излаз су различити захтеви са различитим селекторима. Профил направљен за једно ретко одговара другом, а њихово мешање даје или цурење или сломљену поделу. Проширење заштићеног опсега значи промену обе крајње тачке и њихове политике прослеђивања, јер једнострана промена постаје одбијена понуда. То је најчешћи начин на који радни тунел престане да ради после мале измене.

Селектори описују криптографску покривеност, руте бирају путеве, а апликације спроводе сопствене дозволе. Тунел који покрива све ипак не може да достигне услугу везану за loopback, а рута у тунел ипак захтева селектор који укључује дестинацију. Проверите сва три на истом тестном захтеву, и несагласност ће се сама именовати.