అనేక సబ్‌నెట్‌లతో IPsec తిరిగి వచ్చే ట్రాఫిక్‌ను కోల్పోతోందా? reqid లను లెక్కించండి

ట్రాఫిక్ ఒక సైట్‌ను విడిచిపెట్టి ఎప్పటికీ తిరిగి రాదు, రెండు గేట్‌వేలు పూర్తయిన చర్చను నివేదిస్తాయి, మరియు ఏకైక ఆధారం జవాబులు లేని బయటకు వెళ్లే ప్యాకెట్ల కుప్ప. Linux ఎండ్‌పాయింట్‌పై సాధారణ కారణం ఎన్‌క్రిప్షన్ బలం, MTU లేదా రూటింగ్ పట్టిక కాదు. ఇది విధాన నమోదుల సూక్ష్మత మరియు ప్రతి విధానాన్ని భద్రతా అనుబంధంతో కలిపే సంఖ్య. క్రింది విధానం మరేదాన్నీ తాకకముందే ఆ రెండు డేటాబేస్‌లను చదువుతుంది.

ఏదైనా మార్చే ముందు లక్షణాన్ని వేరు చేయండి

పూర్తయిన IKE చర్చతో ఒక-దిశ వైఫల్యం సమస్యను డేటా మార్గానికి పరిమితం చేస్తుంది. గానీ బయటకు వెళ్లే విధానం సరిపోలి జవాబు పారేయబడింది, లేదా జవాబు ఎప్పటికీ చేరలేదు ఎందుకంటే అవతలి వైపు దాన్ని పంపడానికి ఏమీ లేదు. ఒక అప్లికేషన్ నుండి రెండూ ఒకేలా కనిపిస్తాయి, మరియు xfrm డేటాబేస్‌లు వాటిని వేరు చేస్తాయి.

MTU తో ప్రారంభించవద్దు. తప్పు MTU ఆగుడు మరియు శకలీకరణ లక్షణాలను ఉత్పత్తి చేస్తుంది, పెరుగుతున్న బయటకు వెళ్లే కౌంటర్లతో స్వచ్ఛమైన దిశ విభజన కాదు.

విధాన డేటాబేస్ మరియు స్థితి డేటాబేస్ చదవండి

Linux లో ఎన్‌క్రిప్షన్‌ను విధాన నమోదులు నిర్ణయిస్తాయి, కాబట్టి సరిపోలే విధానం, మార్గం కాదు, ప్యాకెట్‌ను టన్నెల్‌లోకి పంపుతుంది. ప్రతి నమోదు ఎంపికకర్తలు, దిశ, ప్రాధాన్యత, టెంప్లేట్ చూడటానికి ip xfrm policy నడపండి, మరియు స్థాపించిన అనుబంధాలను వాటి reqid లతో చూడటానికి ip xfrm state నడపండి. విధానం మరియు అనుబంధం ఆ reqid ద్వారా కలుస్తాయి.

మూడు దిశలను చూడండి. బయటకు వెళ్లేది మరియు లోపలికి వచ్చేది ఈ హోస్ట్‌కు మరియు ఇక్కడి నుండి ట్రాఫిక్‌ను కవర్ చేస్తాయి; ముందుకు పంపే దిశ హోస్ట్ ఇతరుల కోసం రూట్ చేసినప్పుడు ముఖ్యం. ఒక దిశలో లేని లేదా సరిపోలని నమోదు ఏ క్రిప్టోగ్రాఫిక్ లోపం లేకుండా ఒక-దిశ ఫలితాన్ని వివరిస్తుంది.

సాంప్రదాయ అసమానత: అనేక సబ్‌నెట్‌లకు ఒక reqid

సాధారణ వైఫల్యం, చర్చించిన అన్ని సబ్‌నెట్‌ల విధానాలను ఒకే reqid కింద ఇన్‌స్టాల్ చేసే సహచరుడి నుండి వస్తుంది, ఇది racoon generate_policy require తో జరుగుతుంది. ట్రాఫిక్ అప్పుడు చివరగా స్థాపించిన అనుబంధం ద్వారా బయటకు వెళ్తుంది, అవతలి వైపు ప్రతి సబ్‌నెట్‌కు ప్రత్యేక అనుబంధాన్ని ఉంచుతుంది. జవాబులు వాటిని అంగీకరించాల్సిన విధానాన్ని reqid సూచించని అనుబంధంపై వస్తాయి, మరియు కర్నెల్ డీక్రిప్షన్ తర్వాత వాటిని పారేస్తుంది.

పరిష్కారం కాన్ఫిగరేషన్ మార్పు, ఫైర్‌వాల్ నియమం కాదు: generate_policy unique; ప్రతి విధానానికి దాని స్వంత reqid ఇస్తుంది, కాబట్టి సహచరుడి విధానం వారీగా అనుబంధాలకు సరిపోలే భాగస్వాములు ఉంటారు. దాన్ని వర్తించండి, మళ్లీ చర్చించండి, మరియు విజయాన్ని ప్రకటించే ముందు ఆశించిన సబ్‌నెట్‌ల కోసం వేర్వేరు reqid లను లెక్కించండి.

రెండు సబ్‌నెట్‌లు ఇంకా ఒక reqid పంచుకుంటూండగా అవతలి వైపు రెండు ఆశిస్తే, మీరు అసమానతను కనుగొన్నారు. మ్యాపింగ్‌ను నమోదు చేయండి, ఎందుకంటే తదుపరి మార్పు దాన్ని సరిచేసిందా లేదా కాపాడిందా అనే దానికి అదే సాక్ష్యం.

ఎంపికకర్తలు చర్చ నుండి వస్తాయి, మీ కాన్ఫిగరేషన్ నుండి కాదు

రక్షిత పరిధులు రెండు చివరలు అంగీకరించినవి, ఒక వైపు అడిగినవి కాదు. విస్తృత దూర పరిధికి వ్యతిరేకంగా హోస్ట్ జంటను అందించే క్లయింట్ గేట్‌వే యొక్క సన్నని సంస్కరణను పొందుతుంది, మరియు క్లయింట్ దాన్ని విస్తరించలేదు. ఇన్‌స్టాల్ చేసిన ఎంపికకర్తలను చదవండి, మీ స్థానిక ఫైల్‌లోనివి కాదు.

లక్ష్యం విరుద్ధంగా ఉన్నప్పుడు, అంటే ఒక గమ్యాన్ని టన్నెల్ వెలుపల ఉంచడం, స్వయంచాలకంగా ఇన్‌స్టాల్ చేసిన నమోదును ఓడించడానికి తక్కువ ప్రాధాన్యత సంఖ్యతో బైపాస్ విధానాన్ని జోడించండి. టెంప్లేట్ లేని విధానం స్పష్ట పాఠ్యాన్ని అనుమతిస్తుంది, ఇది దాన్ని మార్పు రికార్డు కోసం ఉద్దేశపూర్వక మినహాయింపుగా చేస్తుంది, డీబగ్గింగ్ అడుగుగా కాదు.

ఈ క్రమంలో ధృవీకరించండి, మరియు ఎలా వెనక్కి తగ్గాలో తెలుసుకోండి

ప్రతి సబ్‌నెట్ కోసం రెండు దిశల్లో విధానాలను జాబితా చేయండి, హోస్ట్ రూట్ చేస్తే ముందుకు పంపే దిశతో సహా. వేర్వేరు reqid లను లెక్కించి ఆశించే వైపు ప్రతి విధానానికి ఒకటి ఉందని నిర్ధారించండి. ఇన్‌స్టాల్ చేసిన ఎంపికకర్తలను అంగీకరించిన వాటితో పోల్చండి. కీ పునరుద్ధరణ తర్వాత అనుబంధం వారీగా కౌంటర్లను మళ్లీ చదవండి, ఎందుకంటే మీరు పరిశీలించిన అనుబంధం ఇప్పటికే పోయి ఉండవచ్చు. మార్గాలను చివరగా తనిఖీ చేయండి, ఎందుకంటే దూర సబ్‌నెట్‌కు మార్గం లేకపోవడం స్వచ్ఛమైన విధాన కౌంటర్లతో పోలిన ఒక-దిశ లక్షణాన్ని కలిగిస్తుంది.

సహచరుడిని మార్చే ముందు రెండు xfrm ఆదేశాల ప్రస్తుత అవుట్‌పుట్‌ను సేవ్ చేయండి. కొత్త సెట్టింగ్ తిరిగి వచ్చే దిశను పునరుద్ధరించకపోతే, ఆ అవుట్‌పుట్‌ను పునరుద్ధరించడం జ్ఞాపకం నుండి టన్నెల్‌ను తిరిగి నిర్మించడం కంటే వేగవంతమైన వెనక్కి తగ్గడం, మరియు పోలికను నిజాయితీగా ఉంచుతుంది.