Kwa nini sera ya usalama ya IPsec si ingizo katika jedwali la njia

Tuma ping hadi 10.20.0.5 kupitia handaki na hakuna kinachorudi, wakati jedwali la njia linasisitiza kuwa subnet hiyo inafikika. Uelekezaji na IPsec hujibu maswali tofauti, na moja tu kati yao inahusu ufikivu. Utafutaji wa mbele huchagua njia, kisha hifadhidata ya sera ya usalama huamua kama njia hiyo inapaswa kulindwa, kuachwa kama ilivyo au kukataliwa. Wakati wawili hawakubaliani, pakiti hufa kimya, kwa hivyo zisome kwa mpangilio huo.

Anza na utafutaji, si jedwali

Uliza kernel kile ambacho kingefanya kweli: ip route get 10.20.0.5 huchapisha njia iliyochaguliwa, kiolesura cha kutoka na anwani ya chanzo ambayo ingetumia. Kiambishi awali, kanuni ya sera, alama au chanzo kinachopendelewa vyote vinaweza kubadilisha jibu hilo, ndiyo sababu utafutaji wa moja kwa moja unashinda kusoma jedwali kwa jicho.

Jaribu lengwa ndani ya masafa yaliyolindwa, si anwani ya lango. Kufikia lango la upande wa pili kunathibitisha tu kuwa kuna njia fulani; hakisemi chochote kuhusu subnet unayohitaji kweli. Kisha thibitisha kuwa kiolesura kilichochaguliwa na utafutaji ni kile unachotarajia handaki litumie.

Oanisha vichaguzi pande zote mbili

Hifadhidata ya sera ina maingizo yake, na kila moja hutaja mwelekeo, chanzo, lengwa na itifaki, kisha husema nini kifanyike kwa pakiti zinazolingana. Tumia ip xfrm policy kuziorodhesha; bendera zinaonyesha kama hatua ni ulinzi, upitaji au kuzuia. Sera ambayo vichaguzi vyake ni pana au nyembamba kuliko mtiririko wako wa jaribio haitalingana nayo, na pakiti hutoka bila ulinzi. Hiyo ndiyo hitilafu unayoiwinda, si njia inayokosekana.

Linganisha thamani halisi: chanzo, lengwa, itifaki na bandari. Ikiwa utafutaji ulitatua jozi moja ya anwani wakati ingizo la sera linashughulikia nyingine, maoni mawili yanaelezea trafiki tofauti. Endesha tena zote mbili kwa tuple ile ile kabla ya kufikia hitimisho, vinginevyo utahariri sera ambayo haikuwa njiani kamwe.

Kulingana kwa sera si hali iliyosakinishwa

Sera inayolingana husema tu kwamba pakiti lazima ilindwe; kernel bado inahitaji muungano wa usalama ili kufanya ulinzi. Ziorodheshe kwa ip xfrm state, au kwa swanctl --list-sas wakati strongSwan inafanya mazungumzo, na soma vichaguzi na vihesabu kwenye kila ingizo.

Wakati sera inalingana na hakuna muungano unaoshughulikia vichaguzi vile vile, pakiti hutupwa badala ya kutumwa kwa maandishi wazi. Hicho ndicho kitupacho unachopaswa kutafuta wakati handaki liko juu lakini subnet moja inashindwa. Vihesabu husema mengine: muungano ambao hauongezeki kamwe haukuchaguliwa kamwe, ilhali ule unaoongezeka na bado kuishia kwa kutupwa unaonyesha upande wa mbali. Kurekebisha vichaguzi na kuhuisha funguo ni marekebisho tofauti, kwa hivyo amua unahitaji lipi kabla ya kugusa usanidi.

Kile handaki la msingi wa njia bado linahitaji

Kiolesura cha XFRM hufanya handaki lionekane kama kifaa unachoweza kuelekeza njia ndani yake, jambo ambalo ni muhimu kweli. Haliiondoi sera na hali zinazoamua kinachotokea pakiti inapofika hapo. Njia inachangia hatua inayofuata na hakuna zaidi.

Ikiwa kifaa kipo na njia inaelekeza ndani yake wakati hakuna muungano unaolingana na vichaguzi vya ndani, pakiti hutupwa, na hakuna kiasi cha uhariri wa njia kinachozalisha funguo au vichaguzi. Kagua kiolesura kwa chanzo na lengwa lile lile uliloelekeza, kisha linganisha hilo na orodha ya hali.

Fafanua umiliki kabla ya kuhariri chochote

Ukuta wa moto wa mwenyeji huongeza uamuzi wa tatu ambao hakuna hifadhidata yoyote kati ya hizo mbili inayoujua. Njia sahihi pamoja na sera inayolingana pamoja na muungano uliosakinishwa bado vinaweza kuishia kwa pakiti iliyotupwa, na programu huripoti tu muda wa kumalizika. Thibitisha kuwa ukuta wa moto unaruhusu trafiki iliyolindwa kabla ya kulaumu IPsec. Kunasa kwenye kifaa cha handaki na kwenye kiolesura cha kimwili kunaonyesha upande upi wa usimbaji fiche pakiti ilipotea.

Umiliki wa usanidi huamua kama marekebisho yako yatadumu baada ya kuwasha upya. Kipengele kimoja kinaweza kusakinisha hali wakati kingine kinasimamia njia, na uhariri wa mkono wa pili hufutwa wakati handaki linapoinuka mara inayofuata. Badilisha usanidi unaomiliki, kisha soma tena maoni yote mawili; RFC 4301 huweka hifadhidata mbili tofauti wakati inakubidi kueleza mgawanyiko huo kwa mtu mwingine.