Зашто IPsec безбедносна политика није унос у табели рута

Пошаљите ping на 10.20.0.5 кроз тунел и ништа се не враћа, док табела рута тврди да је та подмрежа доступна. Рутирање и IPsec одговарају на различита питања, а само једно од њих је о доступности. Претрага напред бира пут, затим база безбедносне политике одлучује мора ли тај пут бити заштићен, остављен какав јесте или одбијен. Када се њих двоје не слажу, пакет тихо умире, па их читајте тим редом.

Почните с претрагом, а не с табелом

Питајте језгро шта би заиста урадило: ip route get 10.20.0.5 исписује изабрану руту, излазни интерфејс и изворну адресу коју би користило. Префикс, правило политике, ознака или преферирани извор могу променити тај одговор, зато је жива претрага боља од читања табеле на око.

Тестирајте одредиште унутар заштићеног опсега, а не адресу пролаза. Достизање пролаза са друге стране доказује само да нека рута постоји; не говори ништа о подмрежи која вам заправо треба. Затим потврдите да је интерфејс који је претрага изабрала онај за који очекујете да ће га тунел користити.

Ускладите селекторе на обе стране

База политике има сопствене уносе, а сваки наводи смер, извор, одредиште и протокол, па каже шта треба урадити с пакетима који се поклапају. Користите ip xfrm policy да их излистате; заставице показују да ли је радња заштита, заобилажење или блокирање. Политика чији су селектори шири или ужи од вашег тестног тока неће се поклопити с њим, а пакет излази незаштићен. То је квар који тражите, а не рута која недостаје.

Упоредите стварне вредности: извор, одредиште, протокол и портове. Ако је претрага решила један пар адреса, а унос политике покрива други, два приказа описују различит саобраћај. Покрените оба поново с истом комбинацијом пре него што донесете закључак, иначе ћете уредити политику која никада није била на путу.

Поклапање политике није инсталирано стање

Политика која се поклапа само каже да пакет мора бити заштићен; језгру је и даље потребна безбедносна асоцијација да изврши заштиту. Излистајте их с ip xfrm state, или с swanctl --list-sas када strongSwan води преговоре, и прочитајте селекторе и бројаче на сваком уносу.

Када се политика поклопи, а ниједна асоцијација не покрива исте селекторе, пакет се одбацује уместо да буде послат у чистом тексту. То је одбацивање које треба тражити када је тунел подигнут, али једна подмрежа не ради. Бројачи говоре остало: асоцијација која никада не расте никада није била изабрана, док она која расте и ипак заврши одбацивањем показује на удаљену страну. Поправка селектора и обнављање кључева су различите поправке, зато одлучите која вам треба пре него што дирнете конфигурацију.

Шта тунел заснован на рути и даље захтева

XFRM интерфејс чини да тунел изгледа као уређај у који можете усмеравати, што је заиста корисно. Он не уклања политику и стање који одлучују шта се дешава када пакет стигне тамо. Рута доприноси следећем скоку и ничему више.

Ако уређај постоји и рута показује у њега, а ниједна асоцијација не одговара унутрашњим селекторима, пакет се одбацује, и никакво уређивање рута не ствара кључеве или селекторе. Проверите интерфејс с истим извором и одредиштем које сте усмерили, па то упоредите с листом стања.

Разјасните власништво пре него што било шта уредите

Заштитни зид на хосту додаје трећу одлуку за коју ниједна од две базе не зна. Исправна рута плус политика која се поклапа плус инсталирана асоцијација и даље могу завршити одбаченим пакетом, а апликација пријављује само истек времена. Потврдите да заштитни зид дозвољава заштићени саобраћај пре него што оптужите IPsec. Снимање на тунелском уређају и на физичком интерфејсу показује с које стране шифровања је пакет нестао.

Власништво конфигурације одлучује хоће ли ваша поправка преживети рестарт. Једна компонента може инсталирати стање док друга управља рутама, а ручна измена друге бива преписисана следећи пут када се тунел подигне. Промените конфигурацију власника, па поново прочитајте оба приказа; RFC 4301 држи две базе одвојеним када неком другом морате објаснити ту поделу.