Подразумевана рута XFRM прогутала је IKE и ESP: сачувајте спољашњу путању

Политика која штити све може ухватити и пакете који одржавају тунел. Означите IKE и ESP или оставите руту ка партнеру.

Саобраћај је заштићен, тунел ради, а затим умире при следећем обнављању кључева. Подразумевана рута кроз XFRM интерфејс описивала је саобраћај који сте желели да заштитите. Она је прогутала и пакете потребне да се заштита настави.

Два укључена одредишта нису заменљива. Рутирање то мора да каже експлицитно.

Куда заправо иде претрага партнера

Забележите активна правила, табелу у којој је XFRM рута и јавну адресу партнера. Затим погледајте путању коју би спољашња веза узела са својим стварним извором и ознаком. Опште одредиште не говори ништа о тој контролној путањи. Само стварни извор и ознака дају користан одговор.

Успешна почетна веза такође мало доказује. Отказ се често појави након што инсталација руте промени одговор. Покретање успе, а затим прво обнављање не успе.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ако претрага за партнера заврши у XFRM интерфејсу, спољашњи пакети се рутирају у тунел који сами граде. То је петља, видљива једном командом.

Опције изузимања на модерном гејтвеју

Документација strongSwan-а о VPN-у заснованом на рутирању наводи два практична одговора. Један означава IKE и ESP тако да се правило ка XFRM табели не поклапа са њима. Други оставља руту партнера или изузеће до којег претрага још може стићи.

Узмите оно што ваш скуп правила може да изрази без нуспојава. Ознака је чиста када остатак стека већ користи ознаке. Она је опасност када иста маска значи нешто друго у другом правилу. Обе врсте пакета у сваком случају требају третман.

Означавање само IKE-а оставља податковне пакете на ухваћеној путањи. То ствара тунел који обави руковање и затим не носи ништа.

Ознака је један бит у fwmark пољу пакета који ништа друго на гејтвеју не тражи: 0x1 са маском 0x1 уобичајен је избор и мора се поставити на два места да би изузеће радило. Charon је треба на IKE сокету, а подешавања долазне и одлазне ознаке дететове везе требају исту вредност да би и инкапсулирани пакети излазили означени. Маска 0x1 уместо 0xffffffff оставља преостале битове слободним, што је важно када други подсистем већ означава пакете на истом хосту. Када су обоје постављени, правило се пише као изузеће, па означени пакети прескачу табелу са XFRM рутом и прелазе у главну табелу:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Затим прочитајте одговор са примењеном ознаком. Без ње прегледате путању којом иде заштићени саобраћај, што је супротно од питања овог одељка.

Шта аутоматска инсталација претпоставља о градњи

Аутоматска инсталација руте за XFRM интерфејс зависи од верзије strongSwan-а и његове конфигурације. ID интерфејса, инсталирана политика и асоцијација морају сви да упућују на предвиђене објекте. Несклад се појављује као рута која тихо показује негде стварно.

Копирање броја табеле или маске ознаке са другог гејтвеја је начин на који почињу колизије. Прво проверите шта је већ користи. Колизија утиче на саобраћај далеко изван тунела који сте хтели да промените, а симптом ретко упућује на копију.

Промене адресе партнера део су дизајна. Хост рута за јучерашњу адресу није план опоравка крајње тачке, док ознака преживљава ту промену.

Пратите прво обнављање

Проверите спољашњу путању након што су заштићене руте инсталиране, не пре тога. Затим пратите следеће обнављање и једну размену апликације. Отказ се обично појављује на том прелазу, а не при покретању.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Привремено уклањање заштићене подразумеване руте обично враћа повезивост. Тај резултат је дијагностички, не коначан.

Циљ је стабилна подела између унутрашњег саобраћаја и спољашњих пакета који га носе. Упишите изабрани механизам и његову табелу или ознаку у белешке гејтвеја. Иначе ће следећа особа која дирне правила поново увести петљу.

Повезани чланци