XFRM இயல்புநிலை வழி IKE மற்றும் ESP-ஐ விழுங்கியது: வெளிப்பாதையை வைத்திருங்கள்

போக்குவரத்து பாதுகாக்கப்பட்டுள்ளது, சுரங்கப்பாதை இயங்குகிறது, பின்னர் அடுத்த விசை புதுப்பிப்பில் அது இறக்கிறது. XFRM இடைமுகம் வழியாகச் செல்லும் இயல்புநிலை வழி நீங்கள் பாதுகாக்க விரும்பிய போக்குவரத்தை விவரித்தது. பாதுகாப்பைத் தொடரத் தேவையான பாக்கெட்டுகளையும் அது விழுங்கியது.

சம்பந்தப்பட்ட இரண்டு இடங்களும் ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல. வழிசெலுத்தல் அதை வெளிப்படையாகச் சொல்ல வேண்டும்.

சகாவின் தேடல் உண்மையில் எங்கே செல்கிறது

செயலில் உள்ள விதிகள், XFRM வழியைக் கொண்ட அட்டவணை மற்றும் சகாவின் பொது முகவரியைப் பதிவு செய்யுங்கள். பின்னர் வெளி இணைப்பு அதன் உண்மையான மூலம் மற்றும் குறியுடன் எந்தப் பாதையை எடுக்கும் என்பதைப் பாருங்கள். பொதுவான இலக்கு அந்தக் கட்டுப்பாட்டுப் பாதையைப் பற்றி எதுவும் சொல்லாது. உண்மையான மூலமும் குறியும் மட்டுமே பயனுள்ள பதிலைத் தரும்.

வெற்றிகரமான தொடக்க இணைப்பும் அதிகம் நிரூபிக்காது. வழி நிறுவல் பதிலை மாற்றிய பிறகு தோல்வி அடிக்கடி தோன்றுகிறது. தொடக்கம் வெற்றியடைகிறது, பின்னர் முதல் புதுப்பிப்பு இல்லை.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

சகாவுக்கான தேடல் XFRM இடைமுகத்தில் முடிந்தால், வெளிப் பாக்கெட்டுகள் அவை தாங்களே உருவாக்கும் சுரங்கப்பாதைக்கு வழிசெலுத்தப்படுகின்றன. அதுவே சுழற்சி, ஒரே கட்டளையில் தெரிகிறது.

நவீன நுழைவாயிலில் விலக்கு விருப்பங்கள்

strongSwan இன் வழிசெலுத்தல் அடிப்படையிலான VPN பற்றிய ஆவணம் இரண்டு நடைமுறை பதில்களை முன்வைக்கிறது. ஒன்று IKE மற்றும் ESP-ஐ குறிக்கிறது, XFRM அட்டவணையை நோக்கிய விதி அவற்றுக்குப் பொருந்தாதபடி. மற்றது சகாவின் வழியையோ விலக்கையோ விட்டுச் செல்கிறது, தேடல் இன்னும் அதை அடைய முடியும்.

உங்கள் விதித்தொகுப்பு பக்க விளைவுகளின்றி வெளிப்படுத்தக்கூடியதைத் தேர்ந்தெடுங்கள். மற்ற ஸ்டாக் ஏற்கனவே குறிகளைப் பயன்படுத்தினால் குறி தூய்மையானது. அதே முகமூடி வேறு விதியில் வேறு பொருள் கொண்டால் அது ஆபத்து. இரு வகைப் பாக்கெட்டுகளுக்கும் எப்படியும் இந்தச் செயலாக்கம் தேவை.

IKE-ஐ மட்டும் குறித்தால் தரவுப் பாக்கெட்டுகள் பிடிபட்ட பாதையிலேயே இருக்கும். அது கைகுலுக்கல் செய்துவிட்டு பின்னர் எதையும் சுமக்காத சுரங்கப்பாதையை உருவாக்குகிறது.

குறி என்பது நுழைவாயிலில் வேறு எதுவும் உரிமை கொள்ளாத பாக்கெட்டின் fwmark-இல் ஒரு பிட்: 0x1, முகமூடி 0x1 உடன் வழக்கமான தேர்வு, மேலும் விலக்கு வேலை செய்ய இரண்டு இடங்களில் அமைக்கப்பட வேண்டும். Charon அதை IKE சாக்கெட்டில் தேவைப்படுகிறது, குழந்தை இணைப்பின் உள்வரும் மற்றும் வெளிச்செல்லும் குறி அமைப்புகளுக்கும் அதே மதிப்பு தேவை, மூடப்பட்ட பாக்கெட்டுகளும் குறியிட்டு வெளியேற. 0xffffffff-க்கு பதிலாக 0x1 முகமூடி மீதமுள்ள பிட்களை இலவசமாக விடுகிறது, அதே ஹோஸ்ட்டில் மற்றொரு துணை அமைப்பு ஏற்கனவே பாக்கெட்டுகளைக் குறித்தால் அது முக்கியம். இரண்டும் அமைக்கப்பட்டால், விதி விலக்காக எழுதப்படுகிறது, எனவே குறியிடப்பட்ட பாக்கெட்டுகள் XFRM வழியைக் கொண்ட அட்டவணையைத் தவிர்த்து பிரதான அட்டவணைக்கு விழும்:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

பின்னர் குறியைப் பயன்படுத்தி பதிலைப் படியுங்கள். அது இல்லாமல் பாதுகாக்கப்பட்ட போக்குவரத்து செல்லும் பாதையை ஆய்வு செய்கிறீர்கள், இது இந்தப் பிரிவின் கேள்விக்கு எதிரானது.

தானியங்கி நிறுவல் கட்டுமானம் பற்றி என்ன கருதுகிறது

XFRM இடைமுகத்திற்கான தானியங்கி வழி நிறுவல் strongSwan பதிப்பு மற்றும் அதன் உள்ளமைவைப் பொறுத்தது. இடைமுக ID, நிறுவப்பட்ட கொள்கை மற்றும் தொடர்பு அனைத்தும் நோக்கப்பட்ட பொருட்களைக் குறிக்க வேண்டும். பொருந்தாமை எங்கோ உண்மையான இடத்தை அமைதியாகச் சுட்டும் வழியாகத் தோன்றுகிறது.

மற்றொரு நுழைவாயிலிலிருந்து அட்டவணை எண்ணையோ குறி முகமூடியையோ நகலெடுப்பதே மோதல்கள் தொடங்கும் வழி. முதலில் அதை ஏற்கனவே என்ன பயன்படுத்துகிறது என்பதைச் சரிபார்க்கவும். மோதல் நீங்கள் மாற்ற விரும்பிய சுரங்கப்பாதையை விட மிகத் தொலைவில் உள்ள போக்குவரத்தைப் பாதிக்கிறது, அறிகுறி அரிதாகவே நகலின் பக்கம் சுட்டுகிறது.

சகாவின் முகவரி மாற்றங்கள் வடிவமைப்பின் பகுதி. நேற்றைய முகவரிக்கான ஹோஸ்ட் வழி இறுதிப் புள்ளி மீட்புத் திட்டம் அல்ல, அதேசமயம் குறி அந்த மாற்றத்தைத் தாங்கி நிற்கிறது.

முதல் புதுப்பிப்பைக் கவனியுங்கள்

பாதுகாக்கப்பட்ட வழிகள் நிறுவப்பட்ட பிறகு வெளிப்பாதையைச் சரிபார்க்கவும், அதற்கு முன் அல்ல. பின்னர் அடுத்த புதுப்பிப்பையும் ஒரு பயன்பாட்டுப் பரிமாற்றத்தையும் கவனியுங்கள். தோல்வி பொதுவாக அந்த மாற்றத்திலேயே தோன்றும், தொடக்கத்தில் அல்ல.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

பாதுகாக்கப்பட்ட இயல்புநிலையைத் தற்காலிகமாக அகற்றினால் பொதுவாக இணைப்பு திரும்பும். அந்த முடிவு நோயறிதல், இறுதியானது அல்ல.

இலக்கு என்பது உள் போக்குவரத்துக்கும் அதைச் சுமக்கும் வெளிப் பாக்கெட்டுகளுக்கும் இடையே நிலையான பிரிவு. தேர்ந்தெடுத்த வழிமுறையையும் அதன் அட்டவணை அல்லது குறியையும் நுழைவாயிலின் குறிப்புகளில் எழுதுங்கள். இல்லையெனில் விதிகளைத் தொடும் அடுத்த நபர் சுழற்சியை மீண்டும் கொண்டு வருவார்.