Njia chaguo-msingi ya XFRM ilimeza IKE na ESP: weka njia ya nje

Trafiki imelindwa, handaki liko juu, kisha hufa kwenye uboreshaji wa funguo unaofuata. Njia chaguo-msingi kupitia kiolesura cha XFRM ilielezea trafiki uliyotaka kulinda. Ilimeza pia pakiti zinazohitajika kuendelea kuilinda.

Mienendo miwili inayohusika haibadilishani. Uelekezaji lazima useme hilo kwa uwazi.

Utafutaji wa mwenzako unaenda wapi kwa kweli

Rekodi sheria zinazotumika, jedwali linaloshikilia njia ya XFRM na anwani ya umma ya mwenzako. Kisha angalia njia ambayo muunganisho wa nje utachukua na chanzo chake halisi na alama. Marudio ya jumla hayakwambii chochote kuhusu njia hiyo ya udhibiti. Chanzo na alama halisi pekee ndivyo vinavyotoa jibu lenye manufaa.

Muunganisho wa kwanza uliofanikiwa pia huthibitisha kidogo. Hitilafu mara nyingi huonekana baada ya usakinishaji wa njia kubadilisha jibu. Uanzishaji hufanikiwa, kisha uboreshaji wa kwanza haufanikiwi.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Ikiwa utafutaji wa mwenzako unaishia kwenye kiolesura cha XFRM, pakiti za nje zinaelekezwa kwenye handaki wanazojenga wenyewe. Hiyo ndiyo mzunguko, unaoonekana kwa amri moja.

Chaguo za kutenga kwenye lango la kisasa

Nyaraka za strongSwan kuhusu VPN inayotegemea uelekezaji zinatoa majibu mawili ya vitendo. Moja huweka alama kwa IKE na ESP ili sheria inayoelekeza kwenye jedwali la XFRM isiwafikie. Nyingine huacha njia ya mwenzako au utengaji ambao utafutaji bado unaweza kufikia.

Chagua lile ambalo seti yako ya sheria inaweza kueleza bila athari za pembeni. Alama ni safi wakati sehemu nyingine ya staki tayari inatumia alama. Ni hatari wakati kifuniko kimoja kinamaanisha kitu kingine katika sheria nyingine. Aina zote mbili za pakiti zinahitaji matibabu hata hivyo.

Kuweka alama kwa IKE pekee huacha pakiti za data kwenye njia iliyonaswa. Hiyo huzalisha handaki linalofanya kupeana mikono kisha halibebi chochote.

Alama ni biti moja katika fwmark ya pakiti ambayo hakuna kitu kingine kwenye lango linaloidai: 0x1 na kifuniko 0x1 ni chaguo la kawaida, na lazima iwekwe katika maeneo mawili ili utengaji ufanye kazi. Charon anaihitaji kwenye soketi ya IKE, na mipangilio ya alama ya kuingia na kutoka ya muunganisho mtoto inahitaji thamani hiyo hiyo ili pakiti zilizofungwa pia zitoke zikiwa na alama. Kifuniko cha 0x1 badala ya 0xffffffff huacha biti zilizobaki huru, jambo muhimu wakati mfumo mdogo mwingine tayari unaweka alama kwa pakiti kwenye mwenyeji huyo huyo. Zote mbili zikiwekwa, sheria huandikwa kama utengaji, kwa hivyo pakiti zenye alama huruka jedwali linaloshikilia njia ya XFRM na kuanguka kwenye jedwali kuu:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Kisha soma jibu ukiwa umetumia alama. Bila hiyo unachunguza njia ambayo trafiki iliyolindwa inachukua, kinyume cha swali la sehemu hii.

Usakinishaji wa kiotomatiki unadhania nini kuhusu ujenzi

Usakinishaji wa kiotomatiki wa njia kwa kiolesura cha XFRM hutegemea toleo la strongSwan na usanidi wake. Kitambulisho cha kiolesura, sera iliyosakinishwa na muungano vyote lazima virejelee vitu vilivyokusudiwa. Kutolingana huonekana kama njia inayoelekeza kimyakimya mahali halisi.

Kunakili namba ya jedwali au kifuniko cha alama kutoka lango lingine ndiyo njia ambayo migongano huanza. Kwanza angalia kinachoitumia tayari. Mgongano huathiri trafiki mbali zaidi ya handaki uliyotaka kubadilisha, na dalili mara chache huelekeza kwenye nakala.

Mabadiliko ya anwani ya mwenzako ni sehemu ya muundo. Njia ya mwenyeji kwa anwani ya jana si mpango wa urejeshaji wa kituo cha mwisho, ilhali alama hustahimili mabadiliko hayo.

Fuatilia uboreshaji wa kwanza

Angalia njia ya nje baada ya njia zilizolindwa kusakinishwa, si kabla. Kisha fuatilia uboreshaji unaofuata na mabadilishano moja ya programu. Hitilafu kawaida huonekana kwenye mpito huo, si wakati wa uanzishaji.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Kuondoa kwa muda njia chaguo-msingi iliyolindwa kawaida hurejesha muunganisho. Matokeo hayo ni ya uchunguzi, si ya mwisho.

Lengo ni mgawanyiko thabiti kati ya trafiki ya ndani na pakiti za nje zinazoibeba. Andika utaratibu uliochaguliwa na jedwali au alama yake kwenye maelezo ya lango. Vinginevyo mtu anayefuata kugusa sheria atarudisha mzunguko.