Çok alt ağlı IPsec dönüş trafiğini mi düşürüyor? reqid'leri sayın

Trafik bir sahada çıkıyor ve bir daha geri dönmüyor, iki ağ geçidi de tamamlanmış bir müzakere bildiriyor ve tek ipucu yanıtsız giden paketlerden oluşan bir yığın. Bir Linux uç noktasında olağan neden şifreleme gücü, MTU veya yönlendirme tablosu değildir. Politika girdilerinin ayrıntı düzeyi ve her politikayı bir güvenlik ilişkisine bağlayan numaradır. Aşağıdaki yordam, başka hiçbir şeye dokunmadan önce bu iki veritabanını okur.

Herhangi bir şeyi değiştirmeden önce belirtiyi ayırın

Tamamlanmış bir IKE müzakereyle birlikte tek yönlü bir arıza, sorunu veri yoluna indirger. Ya giden politika eşleşti ve yanıt atıldı, ya da yanıt hiç ulaşmadı çünkü karşı tarafın gönderecek bir yolu yoktu. Bir uygulamadan iki durum aynı görünür ve xfrm veritabanları onları ayırt eder.

MTU ile başlamayın. Yanlış MTU takılmalara ve parçalanma belirtilerine yol açar, artan giden sayaçlarla temiz bir yön ayrımına değil.

Politika veritabanını ve durum veritabanını okuyun

Linux'ta şifrelemeye politika girdileri karar verir, bu yüzden bir yönlendirme değil, eşleşen bir politika bir paketi tünele sokar. Her girdinin seçicilerini, yönünü, önceliğini ve şablonunu görmek için ip xfrm policy komutunu, kurulmuş ilişkileri reqid'leriyle görmek için ip xfrm state komutunu çalıştırın. Politika ile ilişki bu reqid ile birleştirilir.

Üç yönün hepsine bakın. Giden ve gelen, bu ana bilgisayara ve buradan giden trafiği kapsar; iletme yönü, ana bilgisayar başkaları için yönlendirme yaptığında önemlidir. Bir yönde eksik veya uyuşmayan bir girdi, hiçbir kriptografik arıza olmadan tek yönlü bir sonucu açıklar.

Klasik asimetri: birkaç alt ağ için tek reqid

Yaygın bir arıza, tümüyle anlaşılmış alt ağların politikalarını tek bir reqid altında kuran bir eşten gelir; bu, racoon'un generate_policy require ayarında olur. Trafik daha sonra en son kurulan ilişki üzerinden çıkar, karşı taraf ise alt ağ başına ayrı bir ilişki tutar. Yanıtlar, reqid'i onları kabul etmesi gereken politikayı göstermeyen bir ilişkiye gelir ve çekirdek bunları şifre çözümünden sonra düşürür.

Düzeltme bir yapılandırma değişikliğidir, güvenlik duvarı kuralı değil: generate_policy unique; her politikaya kendi reqid'ini verir, böylece eşin politika başına ilişkileri eşleşen ortaklara sahip olur. Bunu uygulayın, yeniden müzakere edin ve başarı ilan etmeden önce beklediğiniz alt ağlar için farklı reqid'leri sayın.

İki alt ağ hâlâ tek bir reqid paylaşırken karşı taraf iki tane bekliyorsa asimetriyi buldunuz. Eşlemeyi kaydedin, çünkü bir sonraki değişikliğin onu düzeltip düzeltmediğinin ya da koruduğunun kanıtı budur.

Seçiciler yapılandırmanızdan değil, müzakereden gelir

Korunan aralıklar, bir tarafın istediği değil, iki ucun üzerinde anlaştığı aralıklardır. Geniş bir uzak aralığa karşı bir ana bilgisayar çifti öneren istemci, ağ geçidinin daraltılmış sürümünü alır ve istemci bunu genişletemez. Yerel dosyanızdaki seçiciler yerine kurulu seçicileri okuyun.

Amaç tersi olduğunda, yani bir hedefi tünelin dışında tutmak gerektiğinde, otomatik olarak kurulan girdiyi yenmesi için daha düşük öncelik numaralı bir atlama politikası ekleyin. Şablonsuz bir politika düz metne izin verir, bu da onu hata ayıklama adımı değil, bir değişiklik kaydı için bilinçli bir istisna yapar.

Bu sırayla doğrulayın ve nasıl geri döneceğinizi bilin

Her alt ağ için politikaları iki yönde listeleyin, ana bilgisayar yönlendirme yapıyorsa iletme yönü dahil. Farklı reqid'leri sayın ve bekleyen tarafta politika başına bir tane olduğunu doğrulayın. Kurulu seçicileri anlaşılanlarla karşılaştırın. Anahtar yenilemesinden sonra ilişki başına sayaçları yeniden okuyun, çünkü incelediğiniz ilişki çoktan gitmiş olabilir. Yolları en son kontrol edin, çünkü uzak alt ağa giden eksik bir yol, temiz politika sayaçlarıyla benzer tek yönlü bir belirti üretir.

Eşi değiştirmeden önce iki xfrm komutunun geçerli çıktısını kaydedin. Yeni ayar dönüş yönünü geri getirmezse, o çıktıyı geri yüklemek tüneli bellekten yeniden kurmaktan daha hızlı bir geri almıdır ve karşılaştırmayı dürüst tutar.