Sera ya IPsec inameza trafiki yako ya ndani: jinsi ya kutambua

Printa iliyo mezani inaacha kujibu mara tu handaki inapoinuka, na hakuna chochote katika usanidi wa handaki kinachotaja printa. Kile kinachotokea kwa kawaida ni kwamba safu iliyolindwa iliandikwa kwa upana wa kutosha kuijumuisha, kwa hivyo mashine sasa inajaribu kusimba trafiki ambayo ilipaswa kubaki kwenye sehemu ya ndani. Kusoma sera iliyosakinishwa kunaeleza unasa; kuipunguza mahali sahihi huweka trafiki ya mbali ikiwa imelindwa. Safari kutoka ombi lililoshindwa hadi sera inayolingana inachukua dakika chache.

Fuatilia mtiririko kabla ya kubadilisha kichaguzi

Anza na ombi lililoshindwa na uandike thamani nne: anwani ya chanzo ambayo mashine inatumia, lengwa kamili, njia ambayo kerneli huchagua, na sera inayolingana na jozi hiyo.

Mambo haya manne yanaamua kama unasa ni wa kusudi au wa bahati mbaya. Lengwa linaloangukia ndani ya kichaguzi cha mbali linalindwa kwa muundo, hata kama muundo ulikuwa makosa. Lengwa nje yake ambalo bado linanaswa linamaanisha kitu kingine kinalingana, na kubadilisha kichaguzi hakutasaidia. Kesi zote mbili ni za kawaida, na amri moja inazitofautisha.

Fanya hivi kabla ya kuhariri chochote, kwa sababu kesi ya kuvutia ni subneti ya ndani inayopishana na safu ya kibinafsi ambayo muunganisho unalinda. Viambishi vinavyojulikana kama 192.168.0.0/16 vinaonekana katika mitandao mingi, na kichaguzi kilichoandikwa kwa kimoja chao kinaweza kufunika chako kimya kimya.

Aina tatu za ndani zinazofanya tofauti

Lengwa lililopewa mwenyeji huyu, lengwa lililo kwenye kiungo kimoja na lengwa lililo nyuma ya kiolesura kingine ni kesi tatu tofauti. Kerneli hushughulikia kila moja kwa njia tofauti inapoamua kama trafiki inahitaji ulinzi.

Trafiki inayotengenezwa na lango yenyewe pia si sawa na trafiki inayopitishwa kutoka kwa mteja. Sera inayoonekana sahihi kwa trafiki inayopitishwa inaweza kunasa kipindi cha usimamizi cha lango yenyewe, na hivyo msimamizi hupoteza ufikiaji wakati akirekebisha handaki.

Tabia muhimu ni kutaja kesi kwa sauti: kifurushi hiki kinatoka kwangu, kinaenda kwenye kiungo changu au kinapita ndani yangu? Kila jibu linaonyesha mahali tofauti pa kupunguza. Kuandika kesi pia huzuia mtu anayefuata kufanya kazi hiyo hiyo tena.

Wakati safu iliyolindwa ni nafasi nzima ya kibinafsi, kesi zote tatu zinaweza kuangukia ndani yake kwa wakati mmoja, na dalili inakuwa mashine isiyofikia chochote isipokuwa ncha ya handaki.

Soma sera iliyosakinishwa, si faili

Faili za usanidi zinaeleza nia; kerneli inashikilia sera zinazolingana kwa kweli. Onyesha zote mbili na uchukulie kutokulingana kama ugunduzi wa kwanza.

Amri hizi zinaonyesha njia iliyochaguliwa kwa lengwa na sera zilizosakinishwa katika kila mwelekeo:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Njia inakuambia kiolesura gani kifurushi kingetumia. Orodha ya sera inakuambia kama kiolezo kitatumika kisha kwenye kifurushi hicho, na orodha ya muunganisho inaonyesha vichaguzi gani daemoni anadhani imesakinisha. Ikiwa lengwa linaonekana katika kichaguzi cha mbali, umepata unasa bila kubahatisha.

Punguza kichaguzi au epuka lengwa

Kuna marekebisho mawili yanayotumika na yanajibu maswali tofauti. Kupunguza kichaguzi kunasema kuwa muunganisho huu unalinda safu ndogo tu, jambo ambalo ni sahihi wakati safu kubwa ilikuwa kosa. Kuongeza uepukaji kunasema kuwa lengwa hili mahususi halipaswi kamwe kulindwa, jambo ambalo ni sahihi wakati safu iliyolindwa kwa kweli ni pana na lengwa moja ni ubaguzi.

Chagua la kwanza uwezapo, kwa sababu kichaguzi kidogo ni rahisi kufikiria na kinaonekana katika ufafanuzi wa muunganisho. Chagua la pili wakati safu pana ni ya kusudi na ubaguzi ni mwenyeji mmoja au subneti unayoweza kuitaja.

Zote mbili ni za usanidi unaomiliki muunganisho. Sheria ya wakati wa utekelezaji iliyoongezwa kwa mkono hupotea kwenye muunganisho unaofuata, na hitilafu hurudi wakati ambapo hakuna anayekumbuka njia ya kuzunguka.

Ubaguzi salama dhidi ya usakinishaji upya

Baada ya mabadiliko, rudia ombi lile lile lisilo na madhara na uangalie vihesabu vile vile. Lengwa la ndani linapaswa kujibu, na lengwa la mbali lililokusudiwa linapaswa kuendelea kuonyesha trafiki iliyosimbwa.

Ukaguzi huu mbili unathibitisha kwamba ubaguzi ulinusurika na ulinzi haukunusurika:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Kisha tenganisha na uunganishe tena handaki kwa kusudi, na urudie zote mbili. Ubaguzi unaofanya kazi kabla ya kuunganisha tena na kushindwa baada yake umetumika kwenye tabaka isiyo sahihi, na ndiyo njia ya kawaida zaidi ambayo tatizo hili hurudi.