ஒதுக்கப்பட்ட மெய்நிகர் IP இல் IKEv2 வாடிக்கையாளரை அடைதல்

IKEv2 மூலம் தன்னுடன் இணைக்கப்பட்ட மடிக்கணினிக்கு நுழைவாயில் ஒரு இணைப்பைத் தொடங்க வேண்டும், அதற்கு அந்த வாடிக்கையாளருக்கு வழங்கப்பட்ட மெய்நிகர் முகவரியைப் பயன்படுத்த வேண்டும். சுரங்கப்பாதை இயங்குகிறது, வாடிக்கையாளர் நுழைவாயிலுக்குப் பின்னால் உள்ள அனைத்தையும் அடைகிறார், ஆனால் எதிர்திசை இன்னும் தோல்வியடைகிறது. இந்த சமச்சீரற்ற தன்மை இயல்பானது: பேச்சுவார்த்தை செய்யப்பட்ட கொள்கை எந்த முகவரிகள் பேசலாம் என்பதை விவரிக்கிறது, எந்தப் பக்கம் தொடங்கலாம் என்பதை அல்ல. நுழைவாயிலில் தொடங்கப்படும் கோரிக்கை வேலை செய்ய மூன்று விஷயங்கள் ஒத்துப்போக வேண்டும்.

சுரங்கப்பாதை மூல முகவரியைச் சரிசெய்யாது

ஒரு CHILD SA போக்குவரத்து தேர்விகளின் ஒரு இணையை உள்ளடக்கியது, ஒவ்வொரு பக்கத்திற்கும் ஒன்று, மேலும் அந்த இணையின் இரு திசைகளிலும் போக்குவரத்தை அனுமதிக்கிறது. எந்த சக இணை IKE பரிமாற்றத்தை முதலில் திறந்தது என்பதைப் பற்றி அது எதுவும் கூறவில்லை. முதலில் சுரங்கப்பாதைக்காகக் கேட்டுக்கொண்டிருந்த நுழைவாயிலும் முதல் பயன்பாட்டுப் பொதியை அனுப்பலாம், தேர்ந்தெடுக்கப்பட்ட மூலமும் இலக்கும் நிறுவப்பட்ட தேர்விகளுக்குள் இருந்தால். கோரிக்கை தவறான இடைமுகத்திலிருந்து வெளியேறும்போது, அது சுரங்கப்பாதைக்குத் தகுதியற்றது.

வாடிக்கையாளர் நோக்கிய வழிமாற்றம் அவசியம், போதுமானதல்ல. நீங்கள் உண்மையில் பயன்படுத்திய மூலத்தைக் கொள்கை ஏற்க வேண்டும்.

நிறுவப்பட்ட கொள்கையைப் படியுங்கள், கட்டமைப்புக் கோப்பை அல்ல

செயலில் உள்ள தொடர்பு மற்றும் அதன் தேர்விகளில் தொடங்குங்கள், ஏனெனில் மாறும் ஒதுக்கீடு கர்னலில் நிறுவப்பட்டதை மாற்றுகிறது.

ipsec statusall
ip xfrm policy

நிலை வெளியீடு இணைப்பு, ஒதுக்கப்பட்ட மெய்நிகர் முகவரி மற்றும் அந்த சக இணைக்கு இப்போது செல்லுபடியாகும் தேர்விகளைப் பெயரிடுகிறது. கொள்கை டம்ப் அதே தேர்விகளை கர்னல் நிலையாகக் காட்டுகிறது, பொதி தேர்வு உண்மையில் அதைத்தான் பார்க்கிறது. நுழைவாயில் பக்கத் தேர்வியை உங்கள் பயன்பாடு பயன்படுத்தப்போகும் மூலத்துடன் ஒப்பிடுங்கள், ஏனெனில் பொருந்தாமை தோல்வியை உடனடியாக விளக்குகிறது. வாடிக்கையாளரின் தற்போதைய முகவரியைப் படியுங்கள், முந்தைய அமர்வில் இருந்ததை அல்ல, ஏனெனில் மீண்டும் ஒதுக்கப்பட்ட VIP பழைய கொள்கையை செல்லாததாக்குகிறது.

வாடிக்கையாளர் பொதி வரும் இடத்திலேயே கேட்க வேண்டும்

சேவை லூப்பபேக்குடன் மட்டும் பிணைக்கப்பட்டால் சிறந்த கொள்கையும் மூடிய துறைமுகத்தை அடையும். கேட்பவர் ஒதுக்கப்பட்ட முகவரியிலோ அல்லது உள்ளூர் வைல்ட்கார்டு முகவரியிலோ இருக்க வேண்டும்.

ss -ltnp 'sport = :9090'
iptables -S INPUT

சாக்கெட் பட்டியல் துறைமுகம் மெய்நிகர் முகவரியுடன் பிணைக்கப்பட்டுள்ளதா எனக் காட்டுகிறது, தீவரிச் சுவர் விதிகள் பாதுகாக்கப்பட்ட மூலத்திலிருந்து புதிய இணைப்புகள் ஏற்கப்படுகிறதா எனக் காட்டுகின்றன. நிறுவப்பட்ட இணைப்புகளுக்காக எழுதப்பட்ட விதி நுழைவாயில் தொடங்கும் இணைப்பை ஏற்காது. சேவையின் சொந்த அங்கீகாரத்தை வைத்திருங்கள், ஏனெனில் சுரங்கப்பாதை வழியாக வருவது பொதி எந்த வலையமைப்பிலிருந்து வந்தது என்பதை மட்டுமே நிறுவுகிறது. சொந்த NAT பின்னால் உள்ள வாடிக்கையாளருக்கு இன்னும் உள்வரும் துறைமுக மாற்றம் தேவையில்லை, ஏனெனில் இந்தக் கோரிக்கைகள் இருக்கும் சுரங்கப்பாதைக்குள் பயணிக்கின்றன.

புதிய திசையைத் தனியாகச் சோதியுங்கள்

வாடிக்கையாளரிலிருந்து சேவையகத்திற்கான வெற்றிகரமான கோரிக்கை இந்தப் பாதையை ஒருபோதும் பயன்படுத்துவதில்லை. நுழைவாயிலில் இருந்து கோரிக்கையை உருவாக்கி இரு முனைகளையும் கவனிக்கவும்.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

வழித் தேடல் நுழைவாயில் எந்த மூலத்தையும் இடைமுகத்தையும் பயன்படுத்தும் எனப் பதிலளிக்கிறது, கொள்கை ஏற்க வேண்டிய மதிப்பு அதுவே. பதிவு கோரிக்கை பொது இடைமுகத்தில் சாதாரண TCP ஆக அல்ல, ESP உள்ளே செல்வதைக் காட்ட வேண்டும். வாடிக்கையாளரில், வருகை மற்றும் சேவை பதிலளித்ததா என்பதை உறுதிப்படுத்த மறைகுறியாக்கப்பட்ட போக்குவரத்தைப் பதிவு செய்யுங்கள். கோரிக்கை கம்பியில் ESP இல்லாமல் மறைந்தால், வாடிக்கையாளரின் தீவரிச் சுவருக்கு முன் மூல முகவரியைச் சந்தேகியுங்கள்.

விசை மாற்றம் அல்லது மறுஇணைப்புக்குப் பிறகு சோதனையை மீண்டும் செய்யுங்கள், ஏனெனில் VIP மாறக்கூடும். அடுத்த அமர்வு வரை மட்டும் வேலை செய்யும் பாதை வேலை செய்யும் பாதை அல்ல.