IPsec ట్రాఫిక్ సెలెక్టర్లు: అవి ఏమి కవర్ చేస్తాయి, ఏమి చేయవు

ట్రాఫిక్ సెలెక్టర్లు IPsec ఒప్పందం రక్షించే లోపలి ట్రాఫిక్కు పేరు పెడతాయి, ఆ జంట ఊహించబడదు, చర్చల ద్వారా నిర్ణయించబడుతుంది. రెండు చివరలు ఒకదానినొకటి పూర్తిగా ధృవీకరించుకోగలవు, అయినా ఏ ప్యాకెట్లు సొరంగం లోపలికి చెందుతాయన్న దానిపై విభేదించవచ్చు. ఆ విభేదం కనెక్షన్ స్థితిలో కనిపించదు, అది సాధారణంగా ఆరోగ్యకరమైన సొరంగాన్ని నివేదిస్తుంది. సెలెక్టర్లను రెండు చివరల నుండి చదివి తర్వాత ఒక గమ్యాన్ని అనుసరించడం ఎంత విధాన మార్పిడి కంటే వేగంగా దాన్ని కనుగొంటుంది.

వాటిని రెండు చివరల నుండి చదవండి

ప్రతి చివర తన వైపును స్థానికంగా, మరో వైపును దూరంగా వివరిస్తుంది. అందువల్ల అదే ప్రిఫిక్స్ జంట రెండు కాన్ఫిగరేషన్లలో తారుమారై కనిపిస్తుంది, అది సరైనది, వైరుధ్యం కాదు. పనిచేసే ఒప్పందం కాగితంపై తప్పుగా కనిపించినప్పుడు మొదట చేయవలసినది దృక్కోణాన్ని తిప్పడం. రెండు ఫైళ్లను తారుమారు చేయకుండా పక్కపక్కన పోల్చడం లేని అస్థిరతను సృష్టిస్తుంది.

విలువలు ఎప్పుడూ ఒకే సబ్నెట్లు కావు. IKEv2 సెలెక్టర్లు చిరునామా పరిధులు, ప్రోటోకాల్ నంబర్లు మరియు పోర్ట్ పరిధులను మోయగలవు, అలా ఒక విధానం మొత్తం నెట్వర్క్కు బదులు ఒక సేవను రక్షిస్తుంది. ఉద్దేశించిన ట్రాఫిక్ కంటే సన్నని సెలెక్టర్ కొన్ని గమ్యాలను మోస్తూ మిగతావాటిని నిశ్శబ్దంగా మినహాయించే సొరంగాన్ని సృష్టిస్తుంది.

ఏదైనా మార్చే ముందు రెండు వైపులా ఒక పట్టికలో రాయండి. ఈ అభ్యాసం సాధారణంగా కాన్ఫిగరేషన్ ఫైల్ను తాకకుండానే ప్రశ్నను పరిష్కరిస్తుంది.

సన్నగా చేయడం ప్రతిస్పందించే పక్షం నిర్ణయం

ప్రారంభకుడు ప్రతిపాదిస్తాడు, ప్రతిస్పందించే పక్షం ఒక ఉపసమితిని మాత్రమే ఆమోదించగలదు. IKEv2 ప్రతిస్పందించే పక్షానికి ప్రతిపాదిత ట్రాఫిక్ సెలెక్టర్లను సన్నగా చేయడానికి అనుమతిస్తుంది, సన్నగా చేసిన ఫలితమే నిజంగా ఇన్స్టాల్ అవుతుంది. కాబట్టి ప్రారంభకుడి కాన్ఫిగరేషన్ చదవడం ఒక ప్రతిపాదనను వివరిస్తుంది, ఒప్పందాన్ని కాదు.

అందుకే క్లయింట్కు జోడించిన సబ్నెట్ పనిచేసే సొరంగాన్ని సృష్టించి కూడా కొత్త గమ్యాన్ని తిరస్కరించవచ్చు. సర్వర్ తన విధానం అనుమతించిన మేరకు ప్రతిపాదనను సన్నగా చేసింది, క్లయింట్ ఫైల్ ఇంకా విస్తృత పరిధిని జాబితా చేస్తుంది. చర్చించి నిర్ణయించిన స్థితి మాత్రమే నిజాన్ని చూపుతుంది: Linux లో ip xfrm policy మరియు strongSwan యొక్క IKEv2 పత్రాలలోని child SA జాబితా అడిగినది కాదు, ఇన్స్టాల్ చేసినది నివేదిస్తాయి. రెండూ విభేదించినప్పుడు ప్రతిస్పందించే పక్షం విధానమే మార్చాలి.

తిరస్కరించిన ప్రతిపాదన సన్నగా చేసిన దానికంటే వేరైన లక్షణం. తిరస్కరణ చర్చా లాగ్లో కనిపిస్తుంది, ఎలాంటి child అనుబంధాన్ని వదలదు.

ఒక గమ్యాన్ని మొదటి నుండి చివరి వరకు అనుసరించండి

క్లయింట్ ఉపయోగించే నిజమైన గమ్యాన్ని మరియు దానికి మూల చిరునామాను ఎంచుకోండి, తర్వాత ఆ జంటను మూడు స్వతంత్ర నిర్ణయాల గుండా పంపండి. మార్గం ఒక దారిని ఎంచుకుంటుంది, ఆ దారి రక్షితమా కాదా అని సెలెక్టర్ నిర్ణయిస్తుంది, ఫైర్వాల్ ప్యాకెట్ అనుమతించబడిందా లేదా నిర్ణయిస్తుంది. ప్రతిదీ దానంతట అదే విఫలమవచ్చు, విస్తృత సెలెక్టర్ మిగతావాటిలో ఏదీ సరిచేయదు.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

మార్గ ప్రశ్న ప్యాకెట్ను మోసే ఇంటర్ఫేస్ మరియు మూల చిరునామాను పేర్కొంటుంది. విధానాల జాబితా ఆ జంటకు సరిపోయే సొరంగ విధానం ఉందా అని దాని దిశ మరియు స్థాయితో చూపుతుంది. SA జాబితా చర్చించి నిర్ణయించిన child సెలెక్టర్లను కౌంటర్లతో చూపుతుంది, కాబట్టి ట్రాఫిక్ ప్రయత్నించిన తర్వాత సున్నా ప్యాకెట్ల child అనుబంధం పంపుతున్నదాన్ని మినహాయించే సెలెక్టర్ల సంతకం. మూడు ఆదేశాలు, మూడు వేరైన జవాబులు, వాటిలో ఒకటి మాత్రమే నిశ్శబ్ద పతనాన్ని వివరిస్తుంది.

అప్లికేషన్ ఇంకా విఫలమవుతుండగా child కౌంటర్లు కదులుతుంటే, సమస్య సొరంగానికి ఆవల ఉంది. అది దర్యాప్తును సెలెక్టర్ల వైపు కాకుండా దూర హోస్ట్ శ్రోత లేదా ఫైర్వాల్ వైపు మళ్లిస్తుంది.

రెండు లక్ష్యాలను వేరుగా ఉంచండి

కార్యాలయ సబ్నెట్ను రక్షించడం మరియు మొత్తం బ్రౌజింగ్ను దూర నిర్గమనం ద్వారా పంపడం వేరైన సెలెక్టర్లతో వేరైన అవసరాలు. ఒకదానికి నిర్మించిన ప్రొఫైల్ మరొకదానికి అరుదుగా సరిపోతుంది, రెండింటినీ కలపడం లీక్ లేదా విరిగిన విభజనను ఇస్తుంది. రక్షిత పరిధిని విస్తరించడం అంటే రెండు చివరలను మరియు వాటి పంపక విధానాన్ని మార్చడం, ఎందుకంటే ఏకపక్ష మార్పు తిరస్కరించిన ప్రతిపాదన అవుతుంది. చిన్న సవరణ తర్వాత పనిచేసిన సొరంగం పని చేయడం ఆపే అత్యంత సాధారణ మార్గం ఇదే.

సెలెక్టర్లు గూఢలిపి కవరేజీని వివరిస్తాయి, మార్గాలు దారులను ఎంచుకుంటాయి, అప్లికేషన్లు తమ స్వంత అనుమతులను అమలు చేస్తాయి. అన్నింటినీ కవర్ చేసే సొరంగం కూడా loopback తో బంధించిన సేవను చేరుకోలేదు, సొరంగంలోకి వెళ్లే మార్గానికి ఇంకా గమ్యాన్ని చేర్చే సెలెక్టర్ కావాలి. మూడింటినీ ఒకే పరీక్ష అభ్యర్థనపై తనిఖీ చేయండి, అస్థిరత తన పేరును తానే చెబుతుంది.