IPsec yenye subnet nyingi hupoteza trafiki ya kurudi? Hesabu reqid

Trafiki inaondoka eneo moja na hairudi kamwe, lango zote mbili zinaripoti mazungumzo yaliyokamilika, na kidokezo pekee ni rundo la pakiti zinazotoka bila majibu. Katika kituo cha mwisho cha Linux, sababu ya kawaida si nguvu ya usimbaji fiche, MTU au jedwali la uelekezaji. Ni ubainifu wa maingizo ya sera na namba inayounganisha kila sera na muungano wa usalama. Utaratibu ulio hapa chini unasoma hifadhidata hizo mbili kabla ya kugusa kitu kingine.

Tenganisha dalili kabla ya kubadilisha kitu

Kushindwa kwa mwelekeo mmoja pamoja na mazungumzo ya IKE yaliyokamilika hupunguza tatizo hadi njia ya data. Ama sera ya kutoka ililingana na jibu likatupwa, au jibu halikufika kamwe kwa sababu upande wa pili haukuwa na kitu cha kulipitisha. Kwa programu, hali zote mbili zinaonekana sawa, na hifadhidata za xfrm zinazitofautisha.

Usianze na MTU. MTU isiyo sahihi huleta kukwama na dalili za mgawanyiko, si mgawanyiko safi wa mwelekeo wenye vihesabu vinavyotoka vinavyoongezeka.

Soma hifadhidata ya sera na hifadhidata ya hali

Katika Linux usimbaji fiche huamuliwa na maingizo ya sera, kwa hivyo sera inayolingana, si njia, huingiza pakiti kwenye handaki. Endesha ip xfrm policy kuona vichaguzi, mwelekeo, kipaumbele na kiolezo cha kila ingizo, na ip xfrm state kuona miungano iliyoanzishwa pamoja na reqid zake. Sera na muungano huunganishwa na reqid hiyo.

Angalia mielekeo yote mitatu. Kutoka na kuingia hushughulikia trafiki kuelekea na kutoka kwa mwenyeji huyu; mwelekeo wa mbele ni muhimu wakati mwenyeji anaelekeza kwa wengine. Ingizo linalokosekana au kutolingana katika mwelekeo mmoja hueleza matokeo ya mwelekeo mmoja bila hitilafu yoyote ya usimbaji fiche.

Asimetria ya kawaida: reqid moja kwa subnet nyingi

Kushindwa kwa kawaida hutoka kwa mwenza anayeweka sera za subnet zote zilizokubaliwa chini ya reqid moja, jambo linalotokea kwa generate_policy require ya racoon. Trafiki hupita kupitia muungano ulioanzishwa mwisho, huku upande wa pili ukihifadhi muungano tofauti kwa kila subnet. Majibu hufika kwenye muungano ambao reqid yake haionyeshi sera inayopaswa kuyakubali, na kiini huyatupa baada ya usimbaji fiche kufunguliwa.

Suluhisho ni mabadiliko ya usanidi, si kanuni ya firewall: generate_policy unique; humpa kila sera reqid yake mwenyewe, kwa hivyo miungano ya mwenza kwa kila sera ina wenzi wanaolingana. Itumie, jadili upya, na uhesabu reqid tofauti kwa subnet unazotarajia kabla ya kutangaza mafanikio.

Ikiwa subnet mbili bado zinashiriki reqid moja huku upande wa pili ukitarajia mbili, umepata asimetria. Andika ramani, kwa sababu ni ushahidi kwamba mabadiliko yajayo yaliirekebisha au kuiweka.

Vichaguzi hutoka kwenye mazungumzo, si kwenye usanidi wako

Masafa yanayolindwa ni yale waliokubaliana ncha zote mbili, si yale yaliyoombwa na upande mmoja. Mteja anayetoa jozi ya wenyeji dhidi ya masafa mapana ya mbali hupokea toleo lililobanwa la lango, na mteja hawezi kulipanua. Soma vichaguzi vilivyowekwa badala ya vile vilivyo kwenye faili yako ya ndani.

Wakati lengo ni kinyume, yaani kuweka lengwa moja nje ya handaki, ongeza sera ya kupita yenye namba ndogo ya kipaumbele ili ishinde ingizo lililowekwa kiotomatiki. Sera isiyo na kiolezo huruhusu maandishi wazi, jambo linaloifanya kuwa ubaguzi wa makusudi kwa kumbukumbu ya mabadiliko badala ya hatua ya utatuzi.

Thibitisha kwa mpangilio huu, na ujue jinsi ya kurudi nyuma

Orodhesha sera kwa kila subnet katika mielekeo yote mawili, ikiwa ni pamoja na wa mbele ikiwa mwenyeji anaelekeza. Hesabu reqid tofauti na uthibitishe moja kwa kila sera upande unaoitarajia. Linganisha vichaguzi vilivyowekwa na vilivyojadiliwa. Soma tena vihesabu kwa kila muungano baada ya kuhuisha ufunguo, kwa sababu muungano uliouangalia unaweza kuwa umeondoka. Angalia njia mwisho, kwa sababu njia inayokosekana kuelekea subnet ya mbali hutoa dalili sawa ya mwelekeo mmoja na vihesabu safi vya sera.

Kabla ya kubadilisha mwenza, hifadhi matokeo ya sasa ya amri zote mbili za xfrm. Ikiwa mpangilio mpya haurejeshi mwelekeo wa kurudi, kurejesha matokeo hayo ni kurudi nyuma kwa haraka zaidi kuliko kujenga upya handaki kutoka kumbukumbu, na kunahifadhi ulinganisho ukiwa waaminifu.