Nilalamon ng IPsec policy ang lokal na trapik mo: paano ito makikilala

Ang printer sa mesa ay tumitigil sa pagsagot sa sandaling bumangon ang tunnel, at wala sa configuration ng tunnel ang bumabanggit sa printer. Karaniwang nangyari ay isinulat ang protektadong saklaw nang sapat na malawak para maisama ito, kaya sinusubukan na ngayon ng makina na i-encrypt ang trapik na dapat sanang manatili sa lokal na segment. Ang pagbasa sa naka-install na policy ay nagpapaliwanag ng paghuli; ang pagpapaliit nito sa tamang lugar ay nagpapanatili sa proteksyon ng malayong trapik. Ang paglalakbay mula sa nabigong kahilingan hanggang sa tumutugmang policy ay tumatagal ng ilang minuto.

Sundan ang daloy bago palitan ang isang selector

Magsimula sa nabigong kahilingan at isulat ang apat na halaga: ang source address na ginagamit ng makina, ang eksaktong destinasyon, ang ruta na pinipili ng kernel, at ang policy na tumutugma sa pares na iyon.

Ang apat na katotohanang ito ang nagpapasya kung sinasadya o aksidente ang paghuli. Ang destinasyong bumabagsak sa loob ng malayong selector ay pinoprotektahan ayon sa disenyo, kahit mali ang disenyo. Ang destinasyong labas nito na nahuhuli pa rin ay nangangahulugang may ibang tumutugma, at hindi makakatulong ang pagpapalit ng selector. Pareho ang karaniwan ng dalawang kaso, at isang utos lang ang nagtatangi sa kanila.

Gawin ito bago mag-edit ng kahit ano, dahil ang kawili-wiling kaso ay ang lokal na subnet na nagsasapawan sa pribadong saklaw na pinoprotektahan ng koneksyon. Ang mga pamilyar na prefix gaya ng 192.168.0.0/16 ay lumilitaw sa maraming network, at ang selector na isinulat para sa isa sa kanila ay maaaring tahimik na sumaklaw sa iyo.

Tatlong uri ng lokal na magkaiba ang ugali

Ang destinasyong nakatalaga sa host na ito, ang destinasyon sa parehong link at ang destinasyon sa likod ng ibang interface ay tatlong magkaibang kaso. Iba ang pagtrato ng kernel sa bawat isa kapag nagpapasya kung kailangan ng proteksyon ang trapik.

Ang trapik na nililikha ng gateway mismo ay hindi rin katulad ng trapik na ipinapasa mula sa client. Ang policy na mukhang tama para sa ipinasa na trapik ay maaaring humuli sa sariling sesyon ng pamamahala ng gateway, at ganoon nawawalan ng access ang administrator habang inaayos ang tunnel.

Ang kapaki-pakinabang na ugali ay pangalanan ang kaso nang malakas: galing ba sa akin ang packet na ito, papunta sa link ko, o dumadaan sa akin? Bawat sagot ay tumuturo sa ibang lugar na paliitin. Ang pagsulat ng kaso ay pumipigil din sa susunod na tao na ulitin ang parehong gawain.

Kapag ang protektadong saklaw ay isang buong pribadong espasyo, maaaring mahulog dito ang tatlong kaso nang sabay, at ang sintomas ay nagiging makinang walang naaabot maliban sa dulo ng tunnel.

Basahin ang naka-install na policy, hindi ang file

Inilalarawan ng mga configuration file ang intensyon; hawak ng kernel ang mga policy na talagang tumutugma. Ipakita ang dalawa at ituring ang pagkakaiba bilang unang natuklasan.

Ipinapakita ng mga utos na ito ang piniling ruta patungo sa destinasyon at ang mga naka-install na policy sa bawat direksyon:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Sinasabi ng ruta kung aling interface ang gagamitin ng packet. Sinasabi ng listahan ng policy kung may template na iaaplay pagkatapos sa packet na iyon, at ipinapakita ng listahan ng koneksyon kung aling mga selector ang inaakalang naka-install ng daemon. Kung lumitaw ang destinasyon sa isang malayong selector, natagpuan mo ang paghuli nang hindi nanghuhula.

Paliitin ang selector o iwasan ang destinasyon

May dalawang sinusuportahang pag-aayos at sumasagot sila sa magkaibang tanong. Ang pagpapaliit ng selector ay nagsasabing pinoprotektahan lamang ng koneksyong ito ang mas maliit na saklaw, na tama kapag ang mas malawak na saklaw ay isang pagkakamali. Ang pagdaragdag ng pag-iwas ay nagsasabing ang partikular na destinasyong ito ay hindi dapat kailanman protektahan, na tama kapag ang protektadong saklaw ay talagang malawak at isang destinasyon ang eksepsiyon.

Piliin ang una kapag kaya mo, dahil ang mas maliit na selector ay mas madaling isipin at lumilitaw sa depinisyon ng koneksyon. Piliin ang pangalawa kapag ang malawak na saklaw ay sinasadya at ang eksepsiyon ay isang host o subnet na maaari mong pangalanan.

Pareho silang kabilang sa configuration na nagmamay-ari ng koneksyon. Ang runtime rule na idinagdag sa pamamagitan ng kamay ay nawawala sa susunod na muling pagkonekta, at bumabalik ang problema sa sandaling wala nang makaaalala sa workaround.

Mga eksepsiyong ligtas sa muling pag-install

Pagkatapos ng pagbabago, ulitin ang parehong hindi mapaminsalang kahilingan at tingnan ang parehong counters. Dapat sumagot ang lokal na destinasyon, at dapat pa ring magpakita ng naka-encrypt na trapik ang nilalayong malayong destinasyon.

Kinukumpirma ng dalawang pagsusuring ito na nakaligtas ang eksepsiyon at hindi ang proteksyon:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Pagkatapos, sadyang idiskonekta at ikonekta muli ang tunnel, at ulitin ang dalawa. Ang eksepsiyong gumagana bago ang muling pagkonekta at nabibigo pagkatapos ay inilapat sa maling layer, at iyon ang pinakakaraniwang paraan ng pagbabalik ng problemang ito.