IPsec ilkesi yerel trafiğinizi yutuyor: nasıl anlaşılır

Masadaki yazıcı tünel açıldığı anda yanıt vermeyi keser ve tünel yapılandırmasında yazıcıdan söz edilmez. Genellikle olan şey, korunan bir aralığın onu içine alacak kadar geniş yazılmasıdır, bu yüzden makine artık yerel segmentte kalması gereken trafiği şifrelemeye çalışır. Kurulu ilkeyi okumak yakalamayı açıklar; doğru yerde daraltmak uzak trafiği korumaya devam eder. Başarısız istekten eşleşen ilkeye yolculuk birkaç dakika sürer.

Seçiciyi değiştirmeden önce akışı izleyin

Başarısız istekle başlayın ve dört değer yazın: makinenin kullandığı kaynak adresi, tam hedef, çekirdeğin seçtiği rota ve bu çifte uyan ilke.

Bu dört gerçek, yakalamanın kasıtlı mı yoksa kazara mı olduğuna karar verir. Uzak seçicinin içine düşen bir hedef tasarım gereği korunur, tasarım yanlış olsa bile. Onun dışında olup yine de yakalanan bir hedef, başka bir şeyin eşleştiği anlamına gelir ve seçiciyi değiştirmek yardımcı olmaz. Her iki durum da yaygındır ve tek bir komut onları ayırt eder.

Bunu herhangi bir şeyi düzenlemeden önce yapın, çünkü ilginç durum bağlantının koruduğu özel aralıkla çakışan yerel alt ağdır. 192.168.0.0/16 gibi tanıdık önekler birçok ağda görünür ve bunlardan biri için yazılmış bir seçici sessizce sizinkini kapsayabilir.

Farklı davranan üç yerel türü

Bu ana bilgisayara atanmış bir hedef, aynı bağlantı üzerindeki bir hedef ve başka bir arayüzün arkasındaki bir hedef üç farklı durumdur. Çekirdek, trafiğin korumaya ihtiyacı olup olmadığına karar verirken her birini farklı ele alır.

Ağ geçidinin kendisinin ürettiği trafik de bir istemciden iletilen trafikle aynı değildir. İletilen trafik için doğru görünen bir ilke, ağ geçidinin kendi yönetim oturumunu yakalayabilir ve bir yönetici tüneli onarırken erişimini böyle kaybeder.

Yararlı alışkanlık, durumu yüksek sesle adlandırmaktır: bu paket benden mi geliyor, bağlantıma mı gidiyor yoksa benim üzerimden mi geçiyor? Her yanıt daraltılacak farklı bir yeri gösterir. Durumu yazmak da bir sonraki kişinin aynı işi yeniden yapmasını önler.

Korunan aralık tamamen özel bir alan olduğunda, üç durumun hepsi aynı anda içine düşebilir ve belirti, tünel uç noktasından başka hiçbir yere ulaşamayan bir makine olur.

Kurulu ilkeyi okuyun, dosyayı değil

Yapılandırma dosyaları niyeti tanımlar; çekirdek gerçekten eşleşen ilkeleri tutar. İkisini de gösterin ve bir uyuşmazlığı ilk bulgu olarak ele alın.

Bu komutlar hedef için seçilen rotayı ve her yönde kurulu ilkeleri gösterir:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Rota, paketin hangi arayüzü kullanacağını söyler. İlke listesi, bu pakete ardından bir şablon uygulanıp uygulanmayacağını söyler ve bağlantı listesi, daemonun hangi seçicileri kurduğunu sandığını gösterir. Hedef uzak bir seçicide görünüyorsa, tahmin etmeden yakalamayı buldunuz.

Seçiciyi daraltın veya hedefi atlayın

İki desteklenen onarım vardır ve farklı soruları yanıtlarlar. Seçiciyi daraltmak, bu bağlantının yalnızca daha küçük bir aralığı koruduğunu söyler; bu, daha geniş aralık bir hataysa doğrudur. Bir atlama eklemek, bu belirli hedefin asla korunmaması gerektiğini söyler; bu, korunan aralık gerçekten genişse ve bir hedef istisnaysa doğrudur.

Yapabildiğinizde birincisini seçin, çünkü daha küçük bir seçici hakkında akıl yürütmek daha kolaydır ve bağlantı tanımında görünür. Geniş aralık kasıtlıysa ve istisna adını verebileceğiniz tek bir ana bilgisayar veya alt ağsa ikincisini seçin.

Her ikisi de bağlantıya sahip olan yapılandırmaya aittir. Elle eklenen bir çalışma zamanı kuralı bir sonraki yeniden bağlanmada kaybolur ve hata, kimsenin geçici çözümü hatırlamadığı bir anda geri döner.

Yeniden kurulumdan sağ çıkan istisnalar

Değişiklikten sonra aynı zararsız isteği yineleyin ve aynı sayaçlara bakın. Yerel hedef yanıt vermeli ve amaçlanan uzak hedef hâlâ şifrelenmiş trafik göstermelidir.

Bu iki kontrol istisnanın hayatta kaldığını, korumanın kalmadığını doğrular:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

Sonra tüneli kasıtlı olarak kesin ve yeniden bağlayın, ikisini de yineleyin. Yeniden bağlanmadan önce çalışıp sonra başarısız olan bir istisna yanlış katmana uygulanmıştır ve bu sorunun geri dönmesinin en yaygın yolu budur.