ตัวเลือกทราฟฟิก IPsec: ครอบคลุมอะไรและไม่ครอบคลุมอะไร

ตัวเลือกทราฟฟิกระบุชื่อทราฟฟิกภายในที่ข้อตกลง IPsec คุ้มครอง และคู่นี้ถูกเจรจาไม่ใช่สันนิษฐาน ปลายทั้งสองสามารถพิสูจน์ตัวตนกันได้อย่างสมบูรณ์และยังคงไม่เห็นด้วยว่าแพ็กเก็ตใดอยู่ภายในอุโมงค์ ความไม่ลงรอยนั้นมองไม่เห็นในสถานะการเชื่อมต่อ ซึ่งมักรายงานว่าอุโมงค์แข็งแรง การอ่านตัวเลือกจากทั้งสองฝั่งแล้วตามไปที่ปลายทางเดียวพบมันได้เร็วกว่าการแก้ไข policy เท่าใดก็ตาม

อ่านจากทั้งสองฝั่ง

แต่ละปลายอธิบายฝั่งของตนว่าเป็นท้องถิ่นและอีกฝั่งว่าเป็นระยะไกล ดังนั้นคู่คำนำหน้าเดียวกันจึงปรากฏสลับกันในสองการตั้งค่า และนั่นถูกต้องไม่ใช่ขัดแย้ง การกลับมุมมองเป็นสิ่งแรกที่ต้องทำเมื่อข้อตกลงที่ทำงานอยู่ดูผิดบนกระดาษ การเปรียบเทียบสองไฟล์เคียงข้างกันโดยไม่สลับกันสร้างความไม่ตรงกันที่ไม่มีอยู่จริง

ค่าไม่ใช่ซับเน็ตเดียวเสมอไป ตัวเลือก IKEv2 สามารถพาช่วงที่อยู่ หมายเลขโปรโตคอล และช่วงพอร์ตได้ และนั่นคือวิธีที่ policy คุ้มครองบริการเดียวแทนทั้งเครือข่าย ตัวเลือกที่แคบกว่าทราฟฟิกที่ตั้งใจไว้สร้างอุโมงค์ที่พาปลายทางบางส่วนและตัดส่วนที่เหลือออกอย่างเงียบ ๆ

เขียนทั้งสองฝั่งลงในตารางเดียวก่อนเปลี่ยนแปลงสิ่งใด แบบฝึกหัดนี้มักตัดสินคำถามได้โดยไม่ต้องแตะไฟล์การตั้งค่า

การกระชับเป็นดุลยพินิจของผู้ตอบ

ผู้เริ่มเสนอ และผู้ตอบอาจรับได้เพียงชุดย่อย IKEv2 อนุญาตให้ผู้ตอบกระชับตัวเลือกทราฟฟิกที่เสนอ และผลลัพธ์ที่กระชับแล้วคือสิ่งที่ติดตั้งจริง การอ่านการตั้งค่าของผู้เริ่มจึงอธิบายข้อเสนอ ไม่ใช่ข้อตกลง

นั่นคือเหตุผลที่ซับเน็ตที่เพิ่มให้ไคลเอนต์อาจสร้างอุโมงค์ที่ทำงานได้แต่ยังปฏิเสธปลายทางใหม่ เซิร์ฟเวอร์กระชับข้อเสนอลงจนถึงเท่าที่ policy อนุญาต ขณะที่ไฟล์ของไคลเอนต์ยังระบุช่วงที่กว้างกว่า เฉพาะสถานะที่เจรจาแล้วเท่านั้นที่บอกความจริง: บน Linux ip xfrm policy และรายการ child SA ในเอกสาร IKEv2 ของ strongSwan รายงานสิ่งที่ติดตั้งไม่ใช่สิ่งที่ร้องขอ เมื่อทั้งสองไม่ตรงกัน policy ของผู้ตอบคือสิ่งที่ต้องเปลี่ยน

ข้อเสนอที่ถูกปฏิเสธเป็นอาการที่ต่างจากข้อเสนอที่ถูกกระชับ การปฏิเสธปรากฏในบันทึกการเจรจาและไม่ทิ้งความสัมพันธ์ child ไว้เลย

ตามไปที่ปลายทางเดียวตั้งแต่ต้นจนจบ

เลือกปลายทางจริงพร้อมที่อยู่ต้นทางที่ไคลเอนต์จะใช้สำหรับมัน แล้วพาคู่นั้นผ่านการตัดสินใจอิสระสามอย่าง เส้นทางเลือกเส้นทาง ตัวเลือกตัดสินว่าเส้นทางนั้นได้รับการคุ้มครองหรือไม่ และไฟร์วอลล์ตัดสินว่าแพ็กเก็ตได้รับอนุญาตหรือไม่ แต่ละอย่างล้มเหลวได้ด้วยตัวเอง และตัวเลือกที่กว้างไม่ซ่อมอย่างอื่นเลย

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

คำถามเส้นทางระบุอินเทอร์เฟซและที่อยู่ต้นทางที่จะพาแพ็กเก็ต รายการ policy แสดงว่ามี policy อุโมงค์ที่ตรงกันสำหรับคู่นั้นหรือไม่ รวมทั้งทิศทางและระดับ รายการ SA แสดงตัวเลือก child ที่เจรจาแล้วพร้อมตัวนับ ดังนั้นความสัมพันธ์ child ที่มีแพ็กเก็ตศูนย์หลังพยายามส่งทราฟฟิกคือลายเซ็นของตัวเลือกที่ตัดสิ่งที่ส่งออก สามคำสั่ง สามคำตอบต่างกัน และมีเพียงหนึ่งเดียวที่อธิบายการทิ้งอย่างเงียบ ๆ

ถ้าตัวนับ child ขยับขณะที่แอปพลิเคชันยังล้มเหลว ปัญหาอยู่เลยอุโมงค์ออกไป สิ่งนั้นย้ายการสอบสวนไปที่ตัวรับฟังหรือไฟร์วอลล์ของโฮสต์ระยะไกล ไม่ใช่ที่ตัวเลือก

แยกเป้าหมายสองอย่างออกจากกัน

การคุ้มครองซับเน็ตสำนักงานกับการส่งการท่องเว็บทั้งหมดออกทางออกระยะไกลเป็นความต้องการที่ต่างกันด้วยตัวเลือกที่ต่างกัน โปรไฟล์ที่สร้างเพื่ออย่างหนึ่งไม่ค่อยเหมาะกับอีกอย่าง และการผสมกันทำให้เกิดการรั่วไหลหรือการแยกที่พัง การขยายช่วงที่คุ้มครองหมายถึงการเปลี่ยนปลายทั้งสองและ policy การส่งต่อของทั้งคู่ เพราะการเปลี่ยนข้างเดียวกลายเป็นข้อเสนอที่ถูกปฏิเสธ นี่คือวิธีที่พบบ่อยที่สุดที่อุโมงค์ที่ทำงานอยู่หยุดทำงานหลังการแก้ไขเล็กน้อย

ตัวเลือกอธิบายความครอบคลุมเชิงรหัส เส้นทางเลือกเส้นทาง และแอปพลิเคชันบังคับใช้สิทธิ์ของตนเอง อุโมงค์ที่ครอบคลุมทุกอย่างก็ยังเข้าถึงบริการที่ผูกกับ loopback ไม่ได้ และเส้นทางเข้าอุโมงค์ก็ยังต้องมีตัวเลือกที่รวมปลายทางไว้ ตรวจสอบทั้งสามกับคำขอทดสอบเดียวกัน ความไม่ตรงกันจะบอกชื่อตัวเอง