strongSwan trap பயன்முறை: IPsec சுரங்கப்பாதை ஏன் போக்குவரத்துக்காக காத்திருக்கிறது

நிலை வெளியீட்டில் CHILD SA தெரியவில்லை, சுரங்கப்பாதை இறந்ததுபோல் தெரிகிறது, பின்னர் தொலைவு துணைப்பிணையத்திற்கு ping அதை உயர்த்துகிறது. தேவைக்கேற்ற IPsec அமைப்பில் இந்த வரிசையே வடிவமைப்பு, குறைபாடு அல்ல. trap கொள்கை ஒரு தேர்வியை நிறுவி காத்திருக்கிறது, அதற்குப் பொருந்தும் முதல் பொதியே IKE மற்றும் CHILD SA பேச்சுவார்த்தையைத் தொடங்குகிறது.

குழப்பத்தின் ஒரு பகுதி சொல்லகராதி: “up” இரண்டு வெவ்வேறு நிலைகளுக்குப் பயன்படுத்தப்படுகிறது. கட்டமைப்பு ஏற்றப்பட்டுள்ளது மற்றும் கர்னல் கொள்கை உள்ளது, ஆனால் தரவுச் சங்கமம் இல்லை. செயலில் உள்ள SAகளை மட்டும் எண்ணும் கண்காணிப்பான், யாரும் அங்கு போக்குவரத்தை அனுப்பாத வரை ஆரோக்கியமான தளத்தை செயலிழந்ததாகத் தெரிவிக்கும்.

செயலற்ற தேவைக்கேற்ற சுரங்கப்பாதைக்கு காட்ட CHILD SA இல்லை

trap பதிவு தானாக எதையும் அங்கீகரிக்கவில்லை. தேர்ந்தெடுக்கப்பட்ட போக்குவரத்துக்கு ஒரு கொள்கையை வைத்திருக்கவும், பொதிக்கு அந்தக் கொள்கை தேவைப்படும்போது acquisition ஒன்றை உயர்த்தவும் கர்னலிடம் கேட்கிறது. டீமன் acquisition பெற்று, child வரையறையுடன் பொருத்தி, அங்கிருந்து பேச்சுவார்த்தை நடத்துகிறது. அந்த நேரம் வரை காட்ட IKE SA உம் இல்லை, அதனால் இரு பட்டியல்களும் ஒரே நேரத்தில் காலியாக இருக்கலாம்.

இந்த வரிசையே பதிவுகளைப் படிக்கக்கூடியதாக்குகிறது. முதலில் acquisition வரும், பின்னர் IKE_SA_INIT மற்றும் IKE_AUTH, பின்னர் CHILD SA. acquisition உடன் பதிவு உடனே முடிந்தால், தூண்டி வேலைசெய்தது. பேச்சுவார்த்தை தோல்வியடைந்தது, அடுத்த கேள்வி trap பற்றியது அல்ல, சான்றுகள், முன்மொழிவுகள் அல்லது அணுகல் பற்றியது.

Linux கர்னல் backend மூலம் எந்த SA உம் இல்லாதபோதே கொள்கையைப் பார்க்கலாம். இதை இயக்கவும் ip xfrm policy மற்றும் out திசை மற்றும் இணைப்பைச் சுட்டும் வார்ப்புரு கொண்ட தேர்வியைத் தேடுங்கள். அந்தப் பதிவே தேவைக்கேற்ற நிலை, அதன் இருப்பே முதலில் உறுதிசெய்ய வேண்டியது.

start_action எதுவும் காத்திருக்குமா என்பதைத் தீர்மானிக்கிறது

ஒவ்வொரு child உம் swanctl.conf இல் start_action. start கட்டமைப்பு ஏற்றப்படும்போது தொடங்குகிறது, trap கொள்கையை நிறுவி காத்திருக்கிறது, மேலும் none தொடக்கத்தை வேறொன்றுக்கு விட்டுவிடுகிறது. trap மட்டுமே மேலே விவரிக்கப்பட்ட “ping செய்தால் அது உயரும்” நடத்தையை உருவாக்குகிறது.

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

இரு போக்குவரத்து தேர்விகள் எது சுவாரஸ்யமானது என்று வரையறுக்கின்றன, அந்த முன்னொட்டுகளுக்கு வெளியே உள்ள புரவலனின் பொதி trap ஐத் தூண்டாது; அது வழக்கம்போல் வழியமைக்கப்படும். தூண்டியை மேலும் ஆர்வமாக்க தேர்விகளை விரிவாக்குவது, சுரங்கப்பாதை பாதுகாப்பதாகக் கூறும் எல்லையையும் விரிவாக்கும், எனவே நீங்கள் உண்மையில் மறையாக்க விரும்பும் போக்குவரத்திலிருந்தே அவற்றைப் பெறுங்கள்.

இங்கே swanctl.conf குறிப்பு ஏற்றுக்கொள்ளப்பட்ட மதிப்புகளைப் பட்டியலிடுகிறது, SA இருந்தபின் என்ன நடக்கிறது என்பதைக் கட்டுப்படுத்தும் தனி close மற்றும் DPD செயல்களுடன்.

தூண்டி ஏதேனும் தூண்டப்பட்டதா என்பதைக் கண்டறியுங்கள்

இதிலிருந்து தொடங்குங்கள்: swanctl --list-conns மற்றும் child நீங்கள் நோக்கிய செயலுடன் ஏற்றப்பட்டதை உறுதிசெய்யுங்கள். பின்னர் local_ts உள்ளேயுள்ள புரவலனிலிருந்து remote_ts உள்ளேயுள்ள முகவரிக்கு ஒரு பொதியை அனுப்பி swanctl --list-sas கவனியுங்கள். வெளியீடு மாறவில்லை என்றால், எந்த acquisition உம் டீமனை அடையவில்லை.

அமைதியான trap க்கு இரு சாதாரண காரணங்கள்: பொதி கொள்கையை அடைவதற்கு முன் source-NAT ஆனது, இப்போது local_ts உடன் பொருந்தவில்லை, அல்லது தொடரியல் அல்லது சான்று பிழையால் இணைப்பு ஒருபோதும் ஏற்றப்படவில்லை. தேர்விகளைத் தொடுவதற்கு முன் swanctl --load-all மீண்டும் இயக்கி அதன் வெளியீட்டைப் படியுங்கள். ஏற்றப்படாத இணைப்பு எந்தக் கொள்கையையும் நிறுவாது, எனவே போக்குவரத்து தூண்ட எதுவும் இல்லை.

திசையும் முக்கியம்: வெளிச்செல்லும் போக்குவரத்துக்கு நிறுவப்பட்ட trap உள்வரும் பொதியில் தொடங்காது. தொலைப் பக்கம் சுரங்கப்பாதையை உயர்த்த வேண்டுமெனில் அதற்கு சொந்த trap தேவை, அல்லது இந்தப் பக்கத்திற்கு start.

முதல் பொதிக்காகக் காத்திருப்பது எப்போதும் சரியான பரிமாற்றம் அல்ல

ஊடாடும் அமர்வுகள் அமைப்புச் செலவை உணர்கின்றன. முதல் கோரிக்கை IKE பரிமாற்றம் மற்றும் CHILD பேச்சுவார்த்தைக்கான விலையைச் செலுத்துகிறது, குறுகிய காலக்கெடு கொண்ட வாடிக்கையாளர் SA உருவாகும் முன் விட்டுவிடலாம். செயலில் உள்ள start அந்த முதல்-பொதி தாமதத்தை நீக்குகிறது. ஆனால் ஒருபோதும் வராமல் இருக்கக்கூடிய போக்குவரத்துக்காகச் சுரங்கப்பாதையை உயர்த்தியே வைக்கிறது.

மூன்று உண்மைகள் தேர்வைத் தீர்மானிக்கின்றன: பாதை எத்தனை முறை பயன்படுத்தப்படுகிறது, முதல் கோரிக்கைக்கு இறுக்கமான காலக்கெடு உள்ளதா, மற்றும் துவக்கத்தில் சகாவை அடைய முடியுமா. அவ்வப்போது வரும் தொகுதி போக்குவரத்தும் துவக்கத்தில் ஆஃப்லைனில் இருக்கக்கூடிய சகாவும் இரண்டும் trap க்கு ஆதரவாக உள்ளன. தாமதத்திற்கு உணர்திறன் உள்ள வாடிக்கையாளரும் எப்போதும் அடையக்கூடிய சகாவும் start க்கு ஆதரவாக உள்ளன. இரு பக்கங்களும் தொடங்க முடிந்தால், இரட்டைப் பேச்சுவார்த்தைகள் வராதபடி தூண்டி யாருக்கு சொந்தம் என்பதை ஒப்புக்கொள்ளுங்கள்.

நிறுவப்பட்ட கொள்கையும் கசிவு-தடுப்பு உத்தரவாதம் அல்ல. தேவை fail-closed எனில், தீச்சுவர் SA இல்லாத போக்குவரத்தை வீழ்த்த வேண்டும், அந்த விதி child வரையறைக்கு வெளியே வாழ்கிறது.

அடுத்த விவாதத்தை முடிக்கும் மூன்று வரிகளை எழுதுங்கள்

தேர்விகள், துவக்கச் செயல் மற்றும் SA இல்லாமல் கொள்கை இருப்பதைக் காட்டும் கட்டளை வெளியீட்டை எழுதுங்கள். அந்த மூன்று வரிகள் அடுத்த முறை யாரேனும் சுரங்கப்பாதையை செயலிழந்ததாகத் தெரிவிக்கும்போது “தேவைக்கேற்றது மற்றும் செயலற்றது” மற்றும் “ஏற்றப்படவில்லை” ஆகியவற்றைப் பிரிக்கின்றன. அவற்றைப் பதிவுசெய்ய ஒரு நிமிடம் ஆகும். அவை இல்லாமல் அதே விசாரணை பூஜ்ஜியத்திலிருந்து தொடங்குகிறது.

உண்மையில் தேர்விக்குள் இருக்கும் புரவலனிலிருந்து சோதியுங்கள். திசைவியிலிருந்தே செய்யும் ping பெரும்பாலும் வேறு பாதையைப் பின்பற்றும், அதன் பின்னால் உள்ள துணைப்பிணையத்தைப் பாதுகாக்கும் கொள்கை பற்றி எதையும் நிரூபிக்காது.