Nilamon ng default na ruta ng XFRM ang IKE at ESP: panatilihin ang panlabas na landas

Protektado ang trapiko, buhay ang tunnel, at pagkatapos ay namamatay ito sa susunod na pag-renew ng mga key. Ang default na ruta sa pamamagitan ng XFRM interface ay naglalarawan ng trapikong gusto mong protektahan. Nilamon din nito ang mga packet na kailangan para ipagpatuloy ang proteksyon.

Ang dalawang destination na kasangkot ay hindi mapagpapalit. Dapat sabihin ito ng routing nang tahasan.

Saan talaga napupunta ang paghahanap ng peer

Itala ang mga aktibong patakaran, ang talahanayang may rutang XFRM, at ang pampublikong address ng peer. Pagkatapos tingnan ang landas na tatahakin ng panlabas na koneksyon kasama ang tunay nitong pinagmulan at marka. Walang sinasabi ang pangkalahatang destinasyon tungkol sa control path na iyon. Tanging ang tunay na pinagmulan at marka ang nagbibigay ng kapaki-pakinabang na sagot.

Ang matagumpay na unang koneksyon ay kaunti rin ang pinatutunayan. Madalas lumitaw ang pagkabigo pagkatapos baguhin ng pag-install ng ruta ang sagot. Nagtagumpay ang pagsisimula, pagkatapos ay hindi ang unang pag-renew.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Kung ang paghahanap ng peer ay napupunta sa XFRM interface, ang panlabas na packet ay niruruta sa tunnel na sila mismo ang gumagawa. Iyon ang loop, nakikita sa isang utos.

Mga opsyon sa pagbubukod sa isang modernong gateway

Ang dokumentasyon ng strongSwan tungkol sa VPN na nakabatay sa routing ay naglalahad ng dalawang praktikal na sagot. Ang isa ay nagmamarka sa IKE at ESP upang ang patakarang tumuturo sa XFRM table ay hindi tumugma sa kanila. Ang isa ay nag-iiwan ng rutang peer o pagbubukod na naaabot pa ng paghahanap.

Piliin ang kayang ipahayag ng iyong set ng patakaran nang walang side effect. Malinis ang marka kapag ang natitirang bahagi ng stack ay gumagamit na ng mga marka. Mapanganib ito kapag ang parehong mask ay may ibang kahulugan sa ibang patakaran. Kailangan pa rin ng parehong uri ng packet ang pagtrato.

Ang markahan lamang ang IKE ay nag-iiwan sa mga data packet sa nahuling landas. Gumagawa ito ng tunnel na nakipagkamay at pagkatapos ay walang dinadala.

Ang marka ay isang bit sa fwmark ng packet na walang ibang inaangkin sa gateway: 0x1 na may mask 0x1 ang karaniwang pinipili, at kailangan itong itakda sa dalawang lugar upang gumana ang pagbubukod. Kailangan ito ng Charon sa IKE socket, at ang mga setting ng marka ng papasok at palabas ng child connection ay kailangan ng parehong halaga upang lumabas ding may marka ang mga naka-encapsulate na packet. Ang mask na 0x1 sa halip na 0xffffffff ay nag-iiwan ng libre sa natitirang mga bit, na mahalaga kapag may ibang subsystem na nagmamarka na ng packet sa parehong host. Kapag pareho nang itinakda, isinusulat ang patakaran bilang pagbubukod, kaya nilalaktawan ng mga markadong packet ang talahanayang may rutang XFRM at nahuhulog sa pangunahing talahanayan:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Pagkatapos basahin ang sagot na may inilapat na marka. Kung wala ito, sinusuri mo ang landas na tinatahak ng protektadong trapiko, na kabaligtaran ng tanong ng seksyong ito.

Ano ang ipinapalagay ng awtomatikong pag-install tungkol sa build

Awtomatikong pag-install ng ruta para sa XFRM interface ay nakasalalay sa bersyon ng strongSwan at sa configuration nito. Ang interface ID, ang naka-install na patakaran, at ang asosasyon ay dapat tumukoy sa mga nilalayong object. Ang hindi pagkakatugma ay lumilitaw bilang rutang tahimik na tumuturo sa isang tunay na lugar.

Ang pagkopya ng numero ng talahanayan o mask ng marka mula sa ibang gateway ay kung paano nagsisimula ang mga banggaan. Suriin muna kung ano ang gumagamit na nito. Ang banggaan ay nakakaapekto sa trapikong malayo sa tunnel na gusto mong baguhin, at bihirang ituro ng sintomas ang kopya.

Ang mga pagbabago sa address ng peer ay bahagi ng disenyo. Ang host route para sa address kahapon ay hindi plano sa pagbawi ng endpoint, samantalang ang marka ay nakakaligtas sa pagbabagong iyon.

Bantayan ang unang pag-renew

Suriin ang panlabas na landas pagkatapos ma-install ang mga protektadong ruta, hindi bago. Pagkatapos bantayan ang susunod na pag-renew at isang palitan ng application. Karaniwang lumilitaw ang pagkabigo sa paglipat na iyon at hindi sa pagsisimula.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Ang pansamantalang pagtanggal sa protektadong default na ruta ay karaniwang nagbabalik ng koneksyon. Ang resulta ay diagnostic, hindi pangwakas.

Ang layunin ay isang matatag na paghahati sa pagitan ng panloob na trapiko at ng mga panlabas na packet na nagdadala nito. Isulat ang napiling mekanismo at ang talahanayan o marka nito sa mga tala ng gateway. Kung hindi, ibabalik ng susunod na taong humawak sa mga patakaran ang loop.