Hali ya trap ya strongSwan: kwa nini handaki la IPsec linasubiri trafiki

Handaki la IPsec lisilo na shughuli kwa ombi halionyeshi CHILD SA hadi pakiti ilingane na sera yake ya trap. Soma hali, angalia kichocheo na ujue ni lini start inafaa.

Hakuna CHILD SA inayoonekana kwenye matokeo ya hali, handaki linaonekana limekufa, kisha ping kuelekea subnet ya mbali huinyanyua. Katika mpangilio wa IPsec wa kwa ombi, mfululizo huo ni muundo, si hitilafu. Sera ya trap husakinisha kichaguzi na kusubiri, na pakiti ya kwanza inayoilingana ndiyo inayoanzisha IKE na mazungumzo ya CHILD SA.

Sehemu ya mkanganyiko ni msamiati: “up” hutumika kwa hali mbili tofauti. Usanidi umepakiwa na sera ya kernel ipo, lakini muunganisho wa data haupo. Kichunguzi kinachohesabu SA hai pekee kitaripoti tovuti yenye afya kama iliyozimwa mradi tu hakuna anayetuma trafiki huko.

Handaki lisilo na shughuli kwa ombi halina CHILD SA ya kuonyesha

Kuingia kwa trap hakuorodheshi chochote kwa yenyewe. Huna ombi kwa kernel kushikilia sera kwa trafiki iliyochaguliwa na kuinua acquisition wakati pakiti inahitaji sera hiyo. Daemon hupokea acquisition, huilinganisha na ufafanuzi wa child na kujadili kutoka hapo. Hadi wakati huo hakuna IKE SA ya kuonyesha pia, ndiyo sababu orodha zote mbili zinaweza kuwa tupu kwa wakati mmoja.

Mfululizo huo ndio hufanya kumbukumbu ziweze kusomwa. Kwanza acquisition huja, kisha IKE_SA_INIT na IKE_AUTH, kisha CHILD SA. Ikiwa kumbukumbu inaishia mara moja baada ya acquisition, kichocheo kilifanya kazi. Mazungumzo yalishindikana, na swali linalofuata ni kuhusu vitambulisho, mapendekezo au ufikivu, si kuhusu trap.

Kwa backend ya kernel ya Linux unaweza kuona sera kabla ya SA yoyote kuwepo. Endesha ip xfrm policy na tafuta kichaguzi chenye mwelekeo out na kiolezo kinachoelekeza kwenye muunganisho. Kuingia huko ni hali ya kwa ombi, na uwepo wake ni jambo la kwanza la kuthibitisha.

start_action huamua ikiwa kitu chochote kitasubiri

Kila child katika swanctl.conf hubeba start_action. start huanza wakati usanidi unapakiwa, trap husakinisha sera na kusubiri, na none huacha uanzishaji kwa kitu kingine. Ni trap pekee inayozalisha tabia ya “ping na inapanda” iliyoelezwa hapo juu.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

Vichaguzi viwili vya trafiki hufafanua kile kinachochukuliwa kuwa cha kuvutia, na pakiti kutoka mwenyeji nje ya viambishi hivyo haiwashi trap; inapitishwa kama kawaida. Kupanua vichaguzi ili kichocheo kiwe na shauku zaidi kunapanua pia wigo ambao handaki linadai kulinda, kwa hiyo zipate kutoka kwa trafiki unayokusudia kusimba.

Hapa marejeleo ya swanctl.conf yanaorodhesha thamani zinazokubalika, pamoja na vitendo tofauti vya close na DPD vinavyosimamia kinachotokea SA ikiwepo.

Gundua ikiwa kichocheo kiliwashwa hata kidogo

Anza na swanctl --list-conns na uthibitisha kuwa child imepakiwa na kitendo ulichokusudia. Kisha tuma pakiti moja kutoka mwenyeji ndani ya local_ts kwenda anwani ndani ya remote_ts na uangalie swanctl --list-sas. Ikiwa matokeo hayabadiliki, hakuna acquisition iliyofika kwa daemon.

Sababu mbili za kawaida za trap kimyakimya: pakiti ilipitishwa source-NAT kabla ya kufikia sera na hailingani tena na local_ts, au muunganisho haukupakiwa kamwe kwa sababu ya hitilafu ya sintaksia au vitambulisho. Endesha tena swanctl --load-all na soma matokeo yake kabla ya kugusa vichaguzi. Muunganisho ambao haukupakiwa hausakinishi sera, kwa hiyo hakuna kitu trafiki inaweza kuwasha.

Mwelekeo pia ni muhimu: trap iliyosakinishwa kwa trafiki inayotoka hai pathogeni kwenye pakiti inayoingia. Ikiwa upande wa mbali unapaswa kuinua handaki, unahitaji trap yake mwenyewe, au upande huu unahitaji start.

Kusubiri pakiti ya kwanza si kila mara biashara sahihi

Vikao vya mwingiliano huhisi gharama ya usanidi. Ombi la kwanza hulipa ubadilishanaji wa IKE na mazungumzo ya CHILD, na mteja mwenye muda mfupi anaweza kukata tamaa kabla SA haijawepo. start tendaji huondoa ucheleweshaji huo wa pakiti ya kwanza. Lakini huweka handaki wazi kwa trafiki ambayo huenda isifike kamwe.

Mambo matatu huamua chaguo: ni mara ngapi njia inatumika, ikiwa ombi la kwanza lina muda mkali, na ikiwa peer inafikika wakati wa kuwasha. Trafiki ya makundi ya hapa na pale na peer inayoweza kuwa nje ya mtandao wakati wa kuwasha zote zinapendelea trap. Mteja mwenye hisia za ucheleweshaji na peer inayofikika kila wakati zinapendelea start. Ikiwa pande zote zinaweza kuanzisha, kubalianeni nani anamiliki kichocheo ili msipate mazungumzo mawili.

Sera iliyosakinishwa pia si dhamana ya kuzuia uvujaji. Ikiwa hitaji ni fail-closed, firewall lazima iangushe trafiki isiyo na SA, na kanuni hiyo inaishi nje ya ufafanuzi wa child.

Andika mistari mitatu inayomaliza mjadala ujao

Andika vichaguzi, kitendo cha kuanzisha na matokeo ya amri yanayoonyesha sera ikiwepo bila SA. Mistari hiyo mitatu hutenganisha “kwa ombi na bila shughuli” na “haipakiwi” wakati mwingine mtu anaporipoti handaki kama lililozimwa. Inachukua dakika moja kuyarekodi. Bila hayo uchunguzi huo huo huanza kutoka sifuri.

Jaribu kutoka kwa mwenyeji aliye ndani ya kichaguzi kweli. Ping kutoka kwa router yenyewe mara nyingi hupita njia tofauti na haithibitishi chochote kuhusu sera inayolinda subnet iliyo nyuma yake.

Makala zinazohusiana