XFRM డిఫాల్ట్ రూట్ IKE మరియు ESP ను మింగింది: బయటి మార్గాన్ని ఉంచండి

ట్రాఫిక్ రక్షించబడింది, టన్నెల్ నడుస్తోంది, ఆపై తదుపరి కీ పునరుద్ధరణలో అది చనిపోతుంది. XFRM ఇంటర్‌ఫేస్ ద్వారా వెళ్లే డిఫాల్ట్ రూట్ మీరు రక్షించాలనుకున్న ట్రాఫిక్‌ను వివరించింది. రక్షణను కొనసాగించడానికి అవసరమైన ప్యాకెట్లను కూడా అది మింగింది.

సంబంధిత రెండు గమ్యస్థానాలు పరస్పరం మార్చుకోగలిగినవి కావు. రూటింగ్ దానిని స్పష్టంగా చెప్పాలి.

పీర్ వెతుకుడు నిజంగా ఎక్కడికి వెళుతుంది

క్రియాశీల నియమాలు, XFRM మార్గం ఉన్న పట్టిక మరియు పీర్ యొక్క పబ్లిక్ చిరునామాను నమోదు చేయండి. తర్వాత బయటి కనెక్షన్ తన నిజమైన మూలం మరియు మార్క్‌తో ఏ మార్గం తీసుకుంటుందో చూడండి. సాధారణ గమ్యం ఆ నియంత్రణ మార్గం గురించి ఏమీ చెప్పదు. నిజమైన మూలం మరియు మార్క్ మాత్రమే ఉపయోగకరమైన సమాధానం ఇస్తాయి.

విజయవంతమైన ప్రారంభ కనెక్షన్ కూడా కొద్దిగానే నిరూపిస్తుంది. రూట్ ఇన్‌స్టాలేషన్ సమాధానాన్ని మార్చిన తర్వాత వైఫల్యం తరచుగా కనిపిస్తుంది. ప్రారంభం విజయవంతమవుతుంది, తర్వాత మొదటి పునరుద్ధరణ కాదు.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

పీర్ కోసం వెతుకుడు XFRM ఇంటర్‌ఫేస్‌లో ముగిస్తే, బయటి ప్యాకెట్లు అవి తామే నిర్మించే టన్నెల్‌కు రూట్ అవుతాయి. అదే లూప్, ఒకే ఆదేశంలో కనిపిస్తుంది.

ఆధునిక గేట్‌వేలో మినహాయింపు ఎంపికలు

strongSwan యొక్క రూట్ ఆధారిత VPN గురించిన డాక్యుమెంటేషన్ రెండు ఆచరణాత్మక సమాధానాలను ఇస్తుంది. ఒకటి IKE మరియు ESP ను గుర్తిస్తుంది, XFRM పట్టిక వైపు చూపే నియమం వాటికి వర్తించకుండా. మరొకటి పీర్ మార్గాన్ని లేదా మినహాయింపును విడిచిపెడుతుంది, వెతుకుడు ఇంకా చేరుకోగలదు.

మీ నియమసముదాయం దుష్ప్రభావాలు లేకుండా వ్యక్తపరచగలదాన్ని ఎంచుకోండి. స్టాక్‌లో మిగిలిన భాగం ఇప్పటికే మార్క్‌లు ఉపయోగిస్తుంటే మార్క్ శుభ్రంగా ఉంటుంది. అదే మాస్క్ మరో నియమంలో మరో అర్థం ఇస్తే అది ప్రమాదం. రెండు రకాల ప్యాకెట్లకూ ఏదో విధంగా ఈ చికిత్స అవసరం.

IKE ను మాత్రమే గుర్తిస్తే డేటా ప్యాకెట్లు పట్టుబడిన మార్గంలోనే ఉంటాయి. అది చేయి కలిపి తర్వాత ఏమీ మోయని టన్నెల్‌ను సృష్టిస్తుంది.

మార్క్ అనేది గేట్‌వేలో మరేదీ క్లెయిమ్ చేయని ప్యాకెట్ fwmarkలో ఒక బిట్: 0x1, మాస్క్ 0x1 తో సాధారణ ఎంపిక, మరియు మినహాయింపు పనిచేయడానికి దాన్ని రెండు చోట్ల అమర్చాలి. Charon దాన్ని IKE సాకెట్‌లో అవసరం, మరియు చైల్డ్ కనెక్షన్ యొక్క ఇన్‌బౌండ్ మరియు అవుట్‌బౌండ్ మార్క్ సెట్టింగ్‌లకు అదే విలువ అవసరం, ఎన్‌క్యాప్సులేటెడ్ ప్యాకెట్లు కూడా మార్క్ అయి బయలుదేరడానికి. 0xffffffffకు బదులుగా 0x1 మాస్క్ మిగిలిన బిట్లను స్వేచ్ఛగా వదిలిస్తుంది, అదే హోస్ట్‌లో మరో ఉపవ్యవస్థ ఇప్పటికే ప్యాకెట్లను మార్క్ చేస్తుంటే అది ముఖ్యం. రెండూ అమర్చినప్పుడు, నియమం మినహాయింపుగా రాయబడుతుంది, కాబట్టి మార్క్ చేసిన ప్యాకెట్లు XFRM మార్గం ఉన్న పట్టికను దాటి ప్రధాన పట్టికలో పడతాయి:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

తర్వాత మార్క్ వర్తింపజేసి సమాధానం చదవండి. అది లేకుండా మీరు రక్షిత ట్రాఫిక్ వెళ్లే మార్గాన్ని పరిశీలిస్తారు, ఇది ఈ విభాగం ప్రశ్నకు వ్యతిరేకం.

స్వయంచాలక ఇన్‌స్టాలేషన్ నిర్మాణం గురించి ఏమి ఊహిస్తుంది

XFRM ఇంటర్‌ఫేస్ కోసం స్వయంచాలక రూట్ ఇన్‌స్టాలేషన్ strongSwan వెర్షన్ మరియు దాని కాన్ఫిగరేషన్‌పై ఆధారపడి ఉంటుంది. ఇంటర్‌ఫేస్ ID, ఇన్‌స్టాల్ చేసిన విధానం మరియు అనుబంధం అన్నీ ఉద్దేశించిన వస్తువులను సూచించాలి. అస్థిరత ఎక్కడో నిజమైన స్థలాన్ని నిశ్శబ్దంగా చూపే మార్గంగా కనిపిస్తుంది.

మరో గేట్‌వే నుండి పట్టిక సంఖ్యను లేదా మార్క్ మాస్క్‌ను కాపీ చేయడమే ఘర్షణలు మొదలయ్యే మార్గం. మొదట అది ఇప్పటికే ఏమి ఉపయోగిస్తోందో తనిఖీ చేయండి. ఘర్షణ మీరు మార్చాలనుకున్న టన్నెల్ కంటే చాలా దూరంలో ఉన్న ట్రాఫిక్‌ను ప్రభావితం చేస్తుంది, మరియు లక్షణం అరుదుగా కాపీ వైపు చూపుతుంది.

పీర్ చిరునామా మార్పులు డిజైన్‌లో భాగం. నిన్నటి చిరునామా కోసం హోస్ట్ మార్గం ఎండ్‌పాయింట్ రికవరీ ప్రణాళిక కాదు, మార్క్ మాత్రం ఆ మార్పును తట్టుకుంటుంది.

మొదటి పునరుద్ధరణను గమనించండి

రక్షిత మార్గాలు ఇన్‌స్టాల్ అయిన తర్వాత బయటి మార్గాన్ని తనిఖీ చేయండి, అంతకు ముందు కాదు. తర్వాత తదుపరి పునరుద్ధరణ మరియు ఒక అప్లికేషన్ మార్పిడిని గమనించండి. వైఫల్యం సాధారణంగా ఆ పరివర్తనలో కనిపిస్తుంది, ప్రారంభంలో కాదు.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

రక్షిత డిఫాల్ట్‌ను తాత్కాలికంగా తీసివేస్తే సాధారణంగా కనెక్టివిటీ తిరిగి వస్తుంది. ఆ ఫలితం నిర్ధారణాత్మకం, తుది కాదు.

లక్ష్యం లోపలి ట్రాఫిక్ మరియు దాన్ని మోసే బయటి ప్యాకెట్ల మధ్య స్థిరమైన విభజన. ఎంచుకున్న యంత్రాంగాన్ని మరియు దాని పట్టిక లేదా మార్క్‌ను గేట్‌వే నోట్లలో రాయండి. లేకపోతే నియమాలను తాకే తదుపరి వ్యక్తి లూప్‌ను మళ్లీ తెస్తాడు.