Mga tagapili ng trapiko ng IPsec: ano ang saklaw at ano ang hindi

Pinapangalanan ng mga tagapili ng trapiko ang panloob na trapiko na pinoprotektahan ng isang kasunduan sa IPsec, at ang pares ay pinag-uusapan sa halip na ipinapalagay. Maaaring perpektong patunayan ng dalawang dulo ang isa’t isa at hindi pa rin magkasundo kung aling mga packet ang nabibilang sa loob ng tunel. Ang hindi pagkakasundo na iyon ay hindi nakikita sa kalagayan ng koneksyon, na karaniwang nag-uulat ng malusog na tunel. Ang pagbasa ng mga tagapili mula sa dalawang dulo at pagkatapos ay pagsunod sa isang destinasyon ay mas mabilis itong natagpuan kaysa sa anumang dami ng pag-edit ng patakaran.

Basahin sila mula sa dalawang dulo

Inilalarawan ng bawat dulo ang sariling panig bilang lokal at ang kabilang panig bilang malayo. Kaya ang parehong pares ng unlapi ay lumilitaw na nabaliktad sa dalawang konfigurasyon, at iyon ay tama, hindi magkasalungat. Ang pagbaliktad ng pananaw ay ang unang dapat gawin kapag ang gumaganang kasunduan ay mukhang mali sa papel. Ang paghahambing ng dalawang file nang magkatabi nang hindi binabaliktad ang mga ito ay lumilikha ng pagkakaibang wala naman.

Ang mga halaga ay hindi laging iisang subnet. Ang mga tagapili ng IKEv2 ay maaaring magdala ng mga saklaw ng address, mga numero ng protocol at mga saklaw ng port, at sa gayon pinoprotektahan ng patakaran ang isang serbisyo sa halip na isang buong network. Ang tagapiling mas makitid kaysa sa nilalayong trapiko ay lumilikha ng tunel na nagdadala ng ilang destinasyon at tahimik na ibinubukod ang iba.

Isulat ang dalawang panig sa isang talahanayan bago magbago ng anuman. Karaniwang nilulutas ng pagsasanay na ito ang tanong nang hindi hinahawakan ang isang file ng konfigurasyon.

Ang pagpapaliit ay desisyon ng tumutugon

Nagmumungkahi ang nagpasimula, at ang tumutugon ay maaari lamang tumanggap ng isang subset. Pinapayagan ng IKEv2 ang tumutugon na paliitin ang mga iniaalok na tagapili ng trapiko, at ang pinaliit na resulta ang aktwal na naka-install. Kaya ang pagbasa sa konfigurasyon ng nagpasimula ay naglalarawan ng isang alok, hindi ang kasunduan.

Iyon ang dahilan kung bakit ang isang subnet na idinagdag sa kliyente ay maaaring gumawa ng gumaganang tunel na tumatanggi pa rin sa bagong destinasyon. Pinaliit ng server ang alok hanggang sa pinapayagan ng patakaran nito, habang ang file ng kliyente ay naglilista pa rin ng mas malawak na saklaw. Ang pinagkasunduang kalagayan lamang ang nagpapakita ng katotohanan: sa Linux, ang ip xfrm policy at ang listahan ng child SA sa dokumentasyon ng IKEv2 ng strongSwan ay nag-uulat ng naka-install at hindi ng hiniling. Kapag hindi magkasundo ang dalawa, ang patakaran ng tumutugon ang dapat baguhin.

Ang tinanggihang alok ay ibang sintomas kaysa sa pinaliit. Ang pagtanggi ay lumilitaw sa log ng negosasyon at walang iniiwang samahan ng child.

Sundan ang isang destinasyon mula simula hanggang wakas

Pumili ng tunay na destinasyon kasama ang address ng pinagmulan na gagamitin ng kliyente para dito, pagkatapos ay sundan ang pares na iyon sa tatlong malayang desisyon. Pinipili ng ruta ang isang daan, nagpapasya ang tagapili kung protektado ang daang iyon, at nagpapasya ang firewall kung pinapayagan ang packet. Bawat isa ay maaaring mabigo nang mag-isa, at ang malawak na tagapili ay hindi nag-aayos ng alinman sa iba.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Pinapangalanan ng tanong sa ruta ang interface at ang address ng pinagmulan na magdadala ng packet. Ipinapakita ng listahan ng patakaran kung may tumutugmang patakaran ng tunel para sa pares na iyon, kasama ang direksyon at antas nito. Ipinapakita ng listahan ng SA ang mga pinagkasunduang tagapili ng child kasama ang mga counter, kaya ang samahan ng child na walang packet pagkatapos subukan ang trapiko ay ang pirma ng mga tagapiling ibinubukod ang ipinapadala. Tatlong utos, tatlong magkakaibang sagot, at isa lamang sa kanila ang nagpapaliwanag ng tahimik na pagkahulog.

Kung gumagalaw ang mga counter ng child habang nabibigo pa rin ang aplikasyon, ang problema ay nasa kabila ng tunel. Inililipat nito ang pagsisiyasat sa tagapakinig o firewall ng malayong host at hindi sa mga tagapili.

Panatilihing hiwalay ang dalawang layunin

Ang pagprotekta sa subnet ng opisina at ang pagpapadala ng lahat ng pag-browse sa malayong labasan ay magkaibang pangangailangan na may magkaibang tagapili. Ang profile na ginawa para sa isa ay bihirang umangkop sa isa pa, at ang paghahalo sa kanila ay nagbubunga ng tagas o basag na paghahati. Ang pagpapalawak ng protektadong saklaw ay nangangahulugan ng pagbabago sa dalawang dulo at sa kanilang patakaran sa pagpapasa, dahil ang isang panig na pagbabago ay nagiging tinanggihang alok. Ito ang pinakakaraniwang paraan kung paano humihinto sa paggana ang isang gumaganang tunel pagkatapos ng maliit na pag-edit.

Inilalarawan ng mga tagapili ang saklaw na cryptographic, pumipili ang mga ruta ng daan, at ipinapatupad ng mga aplikasyon ang sariling mga permiso. Ang tunel na sumasaklaw sa lahat ay hindi pa rin maaaring maabot ang serbisyong nakatali sa loopback, at ang ruta papasok sa tunel ay nangangailangan pa rin ng tagapiling sumasama sa destinasyon. Suriin ang tatlo laban sa parehong kahilingan sa pagsubok, at ang pagkakaiba ay magpapangalan sa sarili nito.