Vichaguzi vya trafiki vya IPsec: vinafunika nini na visivyofunika

Vichaguzi vya trafiki hutaja trafiki ya ndani ambayo makubaliano ya IPsec hulinda, na jozi hilo hujadiliwa badala ya kudhaniwa. Ncha mbili zinaweza kuthibitisha kila mmoja kikamilifu na bado kutokubaliana kuhusu pakiti zipi zinaingia ndani ya handaki. Tofauti hiyo haionekani katika hali ya muunganisho, ambayo kawaida huripoti handaki lenye afya. Kusoma vichaguzi kutoka pande zote mbili na kisha kufuata lengo moja huipata haraka kuliko uhariri wowote wa sera.

Visome kutoka pande zote mbili

Kila ncha hueleza upande wake kama wa ndani na upande mwingine kama wa mbali. Kwa hiyo jozi hilo la viambishi huonekana limebadilishwa katika usanidi huo mbili, na hilo ni sahihi, si kipingamizi. Kubadili mtazamo ni jambo la kwanza kufanya wakati makubaliano yanayofanya kazi yanaonekana si sahihi kwenye karatasi. Kulinganisha faili mbili kando bila kuzibadilisha huzalisha kutokubaliana kusiko kuwepo.

Thamani si kila wakati subneti moja. Vichaguzi vya IKEv2 vinaweza kubeba masafa ya anwani, namba za itifaki na masafa ya lango, na hivyo sera hulinda huduma moja badala ya mtandao mzima. Kichaguzi chembamba kuliko trafiki iliyokusudiwa huzalisha handaki linalobeba baadhi ya malengo na kuacha mengine kimya.

Andika pande zote mbili katika jedwali moja kabla ya kubadilisha kitu. Zoezi hili kawaida huamua swali bila kugusa faili ya usanidi.

Kupunguza ni uamuzi wa mwitikiaji

Mwanzilishi hupendekeza, na mwitikiaji anaweza kukubali kikundi kidogo tu. IKEv2 inamruhusu mwitikiaji kupunguza vichaguzi vya trafiki vilivyopendekezwa, na matokeo yaliyopunguzwa ndiyo yanayosakinishwa kwa kweli. Kwa hiyo kusoma usanidi wa mwanzilishi hueleza toleo, si makubaliano.

Ndiyo sababu subneti iliyoongezwa kwa mteja inaweza kuzalisha handaki linalofanya kazi ambalo bado linakataa lengo jipya. Seva ilipunguza toleo hadi kile sera yake inaruhusu, wakati faili ya mteja bado inaorodhesha masafa mapana zaidi. Ni hali iliyojadiliwa pekee inayoonyesha ukweli: kwenye Linux, ip xfrm policy na orodha ya child SA katika nyaraka za IKEv2 za strongSwan huripoti kilichosakinishwa na si kilichoombwa. Wakati hizo mbili hazikubaliani, sera ya mwitikiaji ndiyo inayopaswa kubadilishwa.

Toleo lililokataliwa ni dalili tofauti na lililopunguzwa. Kukataa huonekana katika kumbukumbu ya majadiliano na hakuachi muungano wowote wa child.

Fuata lengo moja kutoka mwanzo hadi mwisho

Chagua lengo halisi pamoja na anwani ya chanzo ambayo mteja angetumia kwa ajili yake, kisha pitisha jozi hilo kupitia maamuzi matatu huru. Njia huchagua njia, kichaguzi huamua kama njia hiyo inalindwa, na ngome ya moto huamua kama pakiti inaruhusiwa. Kila kimoja kinaweza kushindwa peke yake, na kichaguzi kipana hakirekebishi kingine chochote.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Swali la njia hutaja kiolesura na anwani ya chanzo ambavyo vingebeba pakiti. Orodha ya sera huonyesha kama sera ya handaki inayolingana ipo kwa jozi hilo, ikiwa ni pamoja na mwelekeo na ngazi yake. Orodha ya SA huonyesha vichaguzi vya child vilivyojadiliwa pamoja na vihesabu, kwa hiyo muungano wa child wenye pakiti sifuri baada ya kujaribu trafiki ni saini ya vichaguzi vinavyokataa kinachotumwa. Amri tatu, majibu matatu tofauti, na ni moja tu kati yao linaeleza kudondoka kimya.

Ikiwa vihesabu vya child vinasonga wakati programu bado inashindwa, tatizo liko ng'ambo ya handaki. Hilo huhamisha uchunguzi kwa msikilizaji au ngome ya moto ya mwenyeji wa mbali na si kwa vichaguzi.

Tenganisha malengo mawili

Kulinda subneti ya ofisi na kutuma kuvinjari kote kupitia tokano la mbali ni mahitaji tofauti yenye vichaguzi tofauti. Profaili iliyojengwa kwa moja mara chache inafaa nyingine, na kuzichanganya huzalisha ama uvujaji au mgawanyiko uliovunjika. Kupanua masafa yaliyolindwa humaanisha kubadilisha ncha zote mbili na sera yao ya upelekaji, kwa sababu mabadiliko ya upande mmoja huwa toleo lililokataliwa. Hii ni njia ya kawaida zaidi ambayo handaki linalofanya kazi huacha kufanya kazi baada ya uhariri mdogo.

Vichaguzi hueleza ufunikaji wa kriptografia, njia huchagua njia, na programu hutekeleza idhini zao wenyewe. Handaki linalofunika kila kitu bado haliwezi kufikia huduma iliyofungwa kwenye loopback, na njia ya kuingia handakini bado inahitaji kichaguzi kinachojumuisha lengo. Kagua vyote vitatu dhidi ya ombi moja la jaribio, na kutokubaliana kutajitaja yenyewe.