OpenVPN வழி strongSwan XFRM கொள்கையிடம் ஏன் தோற்கிறது

பாக்கெட்டுகள் OpenVPN வழியைப் பின்பற்றியும் IPsec கொள்கையால் பிடிபடலாம், இந்தக் கலவை சரியான கோணத்தைத் தவிர ஒவ்வொரு கோணத்திலிருந்தும் ரூட்டிங் பிழை போலவே தெரிகிறது. Linux ஒரு வழியைத் தீர்த்து பின்னர் தனியான பாதுகாப்புக் கொள்கை தரவுத்தளத்தைக் கலந்தாலோசிக்கிறது, எனவே மிகக் குறிப்பிட்ட இலக்கு வழி பொருந்தும் XFRM கொள்கையை இடமாற்றம் செய்யாது. தெரியும் அறிகுறி, புரவலனை விட்டு வெளியேறி ஒருபோதும் சேராத போக்குவரத்து, அதே நேரத்தில் இரு சுரங்கப்பாதைகளும் தங்களை ஆரோக்கியமானவை என அறிவிக்கின்றன. மூன்று விருப்பங்கள் இதைத் தீர்க்கின்றன, எதைத் தேர்வு செய்வது என்பது அந்த முன்னொட்டை இரு பாதைகளில் எது சுமக்க வேண்டும் என்பதைப் பொறுத்தது.

இரு முடிவுகள், ஒன்றல்ல

வழித் தேர்வு ஒரு குறுகிய கேள்விக்குப் பதிலளிக்கிறது: எந்த அடுத்த தாவல் மற்றும் மூல முகவரி இந்தப் பாக்கெட்டைச் சுமக்க வேண்டும். பாதுகாப்புக் கொள்கை தரவுத்தளம் இன்னொன்றுக்குப் பதிலளிக்கிறது: இந்தப் பாக்கெட்டுக்கு IPsec பாதுகாப்பு தேவையா, எந்தத் தேர்விகளின் கீழ். இரண்டும் ஒரே பாக்கெட்டுக்கு இயங்குகின்றன, மேலும் முதலாவதை நிறைவேற்றுவது இரண்டாவது பற்றி எதையும் கூறாது. அதனால்தான் அளவுருவை மாற்றுவது அல்லது நிலையான வழியைச் சேர்ப்பது அறிகுறியைத் தீண்டப்படாமல் விடலாம்.

அகலமான IPsec தேர்வியே வழக்கமான காரணம். 172.16.0.0/12 ஐப் பாதுகாக்கும் கொள்கை 172.20.8.0/24 ஐயும் உள்ளடக்கும், அங்கு நிர்வாகி OpenVPN சுரங்கப்பாதை வழியாகச் செல்ல விரும்பலாம். நோக்கம் ரூட்டிங் அட்டவணையில் மட்டுமே உள்ளது, கொள்கை தரவுத்தளம் அதைப் பற்றி ஒருபோதும் அறிந்ததில்லை.

இதை இரு அளவுருக்களின் போட்டியாக அல்ல, கட்டமைக்கப்பட்ட இரு பாதுகாப்புப் பாதைகளுக்கு இடையிலான முரண்பாடாகக் கருதுங்கள். திருத்தம் தவறான வரம்புடன் கட்டமைக்கப்பட்ட கூறுக்கே உரியது.

கர்னல் உண்மையில் தேர்ந்தெடுக்கும் வழியைப் படியுங்கள்

கர்னல் செய்யும் தேடலுடன் தொடங்குங்கள், மூல முகவரி மற்றும் அதை வேறு அட்டவணைக்குத் திருப்பக்கூடிய எந்தக் கொள்கை விதியும் உட்பட. முந்தைய விதி வேறு அட்டவணையைத் தேர்ந்தெடுத்தால் பிரதான அட்டவணையின் வழி ஒருபோதும் பரிசீலிக்கப்படாமல் இருக்கலாம், நீளமான முன்னொட்டுப் பொருத்தம் விதி தேர்ந்தெடுக்கும் அட்டவணைக்குள் மட்டுமே பொருந்தும்.

ip rule show
ip route show table all
ip route get 172.20.8.20 from 10.44.7.15

கடைசிக் கட்டளையே முக்கியம், ஏனெனில் அது தேர்ந்தெடுத்த வழியையும் கர்னல் பயன்படுத்தும் மூல முகவரியையும் சேர்த்து அச்சிடுகிறது. அந்த வெளியீட்டை IPsec கொள்கை பொருந்தும் தேர்வியுடன் ஒப்பிடுங்கள். வழி OpenVPN இடைமுகத்தை நோக்கி இருக்கையில் கொள்கை இன்னும் அதே இணையுடன் பொருந்தினால், ஊகிக்காமலேயே முரண்பாட்டை மீண்டும் உருவாக்கியுள்ளீர்கள்.

டிக்கெட்டை அடையும் முன் டம்ப்களைத் தொடர்பற்ற முகவரிகளிலிருந்து விடுவிக்கவும். உற்பத்திப் புரவலனின் ரூட்டிங் அட்டவணை உள் இடவியலைச் சுமக்கிறது, கேள்விக்குப் பதிலளிக்கும் வரிகளை மட்டுமே ஒட்டுவது மதிப்புள்ளது.

பொருந்தும் கொள்கையையும் படியுங்கள்

கொள்கைப் பட்டியல் திசை, தேர்விகள் மற்றும் பொருந்தும் பாக்கெட்டுக்கு என்ன நடக்கும் என்பதைத் தீர்மானிக்கும் வார்ப்புருவைக் காட்டுகிறது. முதலில் வெளிச்செல்லும் திசையைப் படித்து, பின்னர் திரும்பும் போக்குவரத்துக்கான உள்வரும் பக்கத்தைப் படியுங்கள், ஏனெனில் ஒரு-திசை விலக்கு தொடங்கி ஒருபோதும் நிறைவடையாத இணைப்பை உருவாக்குகிறது.

ip -s xfrm policy
swanctl --list-sas

பட்டியலில் உள்ள தேர்விகளை இணைப்பு பேச்சுவார்த்தை செய்த முன்னொட்டுகளுடன் ஒப்பிடுங்கள். strongSwan இன் வழி நிறுவலை முடக்குவது அந்தக் கொள்கைகளை நீக்காது, அளவுருவை மாற்றுவது எந்த மூல-இலக்கு இணையைக் கொள்கை பாதுகாக்கிறது என்பதை மாற்றாது. இந்த இரு போலி திருத்தங்களையும் ஆரம்பத்திலேயே விலக்குவது மதிப்புள்ளது, ஏனெனில் மக்கள் முதலில் அவற்றையே முயற்சிக்கின்றனர்.

நீங்கள் எதிர்பார்த்த முன்னொட்டுக்கு பட்டியலில் கொள்கை இல்லையெனில், பிரச்சினை வேறெங்கோ உள்ளது, ரூட்டிங் அட்டவணை அநேகமாக உண்மையையே கூறுகிறது. அது முன்னொட்டை உள்ளடக்கும் அகலமான கொள்கையைக் கொண்டிருந்தால், பிடிப்பைக் கண்டுபிடித்துவிட்டீர்கள்.

இரு பாதைகளும் சட்டபூர்வமாக இருக்கும்போது மூன்று விருப்பங்கள்

அகலமான முன்னொட்டு தேவையல்லாமல் வசதியாக இருந்தபோது IPsec தேர்வியைக் குறுகலாக்குவதே மிகத் தூய்மையான விருப்பம். உண்மையில் IPsec பின்னால் உள்ள துணை வலையமைப்புகளுக்கு தொலை போக்குவரத்து தேர்வியைக் குறைப்பது ஒரே நேரத்தில் ஒவ்வொரு புரவலனுக்கும் முரண்பாட்டை நீக்குகிறது, அதன் செலவு புதிய கூறு அல்ல, விசை மறுபேச்சுவார்த்தை.

அகலமான தேர்வி நிலைத்திருக்க வேண்டியிருக்கும்போது கடந்து செல்லும் விலக்கே அறுவை சிகிச்சை விருப்பம். strongSwan அதன் child pass பயன்முறையைப் பயன்படுத்தும் தனி இணைப்பை ஆதரிக்கிறது, அது பொருந்தும் போக்குவரத்தை IPsec செயலாக்கக்கூடாது என கர்னலுக்குக் கூறுகிறது. லூப்பாக் தொலை முகவரி அந்த இணைப்பை வரும் துணைவர்களுக்குத் தேர்ந்தெடுக்கப்படாமல் தடுக்கிறது, தேர்விகள் எல்லாவற்றையும் அல்ல, உண்மையான அங்கீகரிக்கப்பட்ட இணையை விவரிக்க வேண்டும்.

connections {
    openvpn-exception {
        remote_addrs = 127.0.0.1
        children {
            openvpn-exception {
                local_ts = 10.44.7.0/24
                remote_ts = 172.20.8.0/24
                mode = pass
                start_action = trap
            }
        }
    }
}

strongSwan கட்டமைப்பு எடுத்துக்காட்டுகள் இந்தக் கொள்கை வகையையும் லூப்பாக் துணைவர் மரபையும் ஆவணப்படுத்துகின்றன. மூன்றாவது விருப்பம் XFRM இடைமுகங்களுடன் வழி அடிப்படையிலான வடிவமைப்பு ஆகும், இது கொள்கையை உலகளாவிய தேர்விக்குப் பதிலாக பெயரிடப்பட்ட இடைமுகம் வழியாக வழிமாற்றப்படும் போக்குவரத்துடன் இணைக்கிறது. இது மாற்றமல்ல, இடம்பெயர்வு, போக்குவரத்து இன்னும் பேச்சுவார்த்தை செய்யப்பட்ட தேர்விகளை நிறைவேற்ற வேண்டும்.

மீதியைப் பலவீனப்படுத்தாமல் விலக்கை நிரூபியுங்கள்

மாற்றத்தை ஏற்றிய பிறகு விலக்கையும் பாதுகாக்கப்பட்டிருக்க வேண்டிய சாதாரண இலக்கையும் சோதியுங்கள். இரு திசைகளையும் சரிபார்த்து, பின்னர் OpenVPN சுரங்கப்பாதையை வீழ்த்தி விலக்கப்பட்ட போக்குவரத்துக்கு என்ன நடக்கிறது என்பதை உறுதிசெய்யுங்கள். சுரங்கப்பாதை கீழே இருக்கும்போது அந்த முன்னொட்டை அமைதியாக வெளிப்படையாக அனுப்பும் விலக்கு சம்பவத்தின் போது கண்டறிய வேண்டியதல்ல, வேண்டுமென்றே எடுக்க வேண்டிய கொள்கை முடிவு.

எந்த முன்னொட்டு எந்தப் பாதையைப் பயன்படுத்துகிறது, ஏன் என்பதைப் பதிவு செய்யுங்கள். இல்லையெனில் அகலமான தேர்வியைப் பார்க்கும் அடுத்த பொறியாளர் அதே விசாரணையை மீண்டும் திறப்பார், பதில் யாரும் படிக்காத commit செய்தியில் இருக்கும்.