strongSwan’dan AWS Site-to-Site’a: Child SA neden hiçbir şey seçmiyor

IKE tüneli ayakta olabilir, ancak alt ilişki alt ağlarınızı dışarıda bırakır. Önce AWS’nin yerel ve uzak CIDR değerlerini leftsubnet ve rightsubnet ile karşılaştırın.

Konsol up gösteriyor, strongSwan kurulmuş bir IKE ilişkisi bildiriyor ve paketler yine de ulaşmıyor. Karşılaştırılacak bir sonraki şey önceden paylaşılan anahtar değil, her tarafın tünelin koruduğuna inandığı önek çiftidir. Aşağıdaki kontrolleri sırayla yapın, çünkü ilk ikisi tünelin trafiğinizi baştan taşıyıp taşıyamayacağını belirler.

AWS adlarını strongSwan terimlerine çevirin

AWS bağlantıyı müşteri tarafından tanımlar: müşteri geçidi adresi ve yerel CIDR size aittir, uzak CIDR ise VPC’ye aittir. strongSwan iki ucu left ve right olarak adlandırır, önekiniz leftsubnet’te, VPC öneki rightsubnet’te bulunur. Bir çifti ters çevirmek, yanlış trafiği müzakere eden ve seçen bir tünel üretir.

AWS’nin bağlantı için ürettiği yapılandırmayı indirin ve tünel adresleri ile önekler dahil olmak üzere tam olarak o bağlantının referansı sayın. Oluştururken iki CIDR alanını da boş bırakırsanız hizmet her tarafta varsayılan 0.0.0.0/0 değerini kullanır. Dar bir önekle yapılandırılmış yönlendirici o zaman asla eşleşmez, bu yüzden alanları doldurun ya da seçiciyi bilinçli olarak genişletin.

Buradaki uyuşmazlık yönlendirme arızası gibi görünür ama değildir.

AWS’nin gerçekte gördüğü adresi sabitleyin

NAT arkasındaki bir yönlendirici, karşı tarafın hiç bilmediği bir arayüzden IKE gönderebilir. AWS’de kaydedilen geçit adresi AWS’nin ağda gördüğü adres olmalıdır ve yönlendirici varsayılan rotasını izlemek yerine aynı yerel adrese sabitlenmelidir.

conn %default
    local_addrs = 203.0.113.10

strongSwan’da local_addrs IKE için kaynak adresi seçer ve eski OpenSwan yapılandırmaları aynı fikri left olarak yazar. Onu genel adresi taşıyan arayüze yönlendirin, ardından NAT cihazının kendisinde UDP 500 ve 4500’ün o konağa ulaştığını doğrulayın, çünkü önceki yönlendiriciden kalan bir kural onları sessizce düşürür. Doğru seçici çifti yanlış kaynak adresle yine başarısız olur ve günlük suçu öneriye atar. İşte bu yanıltma, kaynak adresin kendi kontrolünü hak etmesinin nedenidir.

Yönlendirme kuralını varsaymak yerine doğrulayın, çünkü önceki yönlendirici için doğru olan kural sıklıkla kalır.

Faz 1 ve faz 2’yi ayrı ele alın

AWS, IKE ve ESP seçeneklerini ayrı listeler olarak gösterir. Her iki tarafın kabul ettiği IKE paketi ESP önerisi hakkında hiçbir şey söylemez, çünkü iki liste bağımsızdır. İkisini de üretilen yapılandırmadan okuyun ve tek tek karşılaştırın.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Sözdizimi uygulamalar arasında taşınmaz. OpenSwan’da çalışan bir çift, örneğin phase2alg=aes_gcm ile ike=aes256-sha1;modp1024, strongSwan’ın esp= ve ike= biçimine çevrilmelidir ve algoritma adları farklıdır. GCM şifrelerken kimlik doğruladığı için, SHA ile eşlenmiş CBC paketinden farklı olarak ayrı bir bütünlük dönüşümüne gerek duymaz. Bir daemon’dan diğerine çevrilmeden yapıştırılan faz 2 satırı, seçici uyuşmazlığı gibi okunan bir ret üretir.

Tünel göstergesini değil, alt ilişkiyi denetleyin

Bağlantı yükleniyor ama hiçbir alt ilişki ortaya çıkmıyorsa ya öneri ya da seçiciler reddedilmiştir. Bir alt ilişki çıkıyor ve seçicileri öneklerinizi dışarıda bırakıyorsa paketler tünele ulaşmadan süzülür. Konsolun göstergesi yalnızca IKE katmanını kapsar, bu yüzden ikisinden hangisinin olduğunu söyleyemez.

ipsec statusall

Alt güvenlik ilişkisini bulun ve yanında yazdırılan trafik seçicilerini okuyun, ardından bunları üretilen yapılandırmanın önekleriyle karşılaştırın.

Yerel önekin içindeki bir konaktan VPC önekinin içindeki bir konağa test edin ve dönüş yolunu ayrıca AWS tarafındaki herhangi bir güvenlik grubunu veya ağ ACL’sini kontrol edin. Doğru seçiciler bir paketin sonradan düşürülmesini engellemez.

Seçiciler eşleştikten sonra hâlâ başarısız olduğunda

Her iki taraftaki rotanın tünele işaret ettiğini doğrulayın, ardından NAT cihazının trafiği politikanın beklemediği biçimde yeniden yazmadığını doğrulayın. Politikaya dayalı bir tünel paket adreslerini eşleştirir, bu yüzden politika kararından sonra uygulanan bir çeviri sonucu değiştirir.

Başka bir öneriyi değiştirmeden önce her tarafta bir gelen ve bir giden paketi günlüğe kaydedin.

Bilete seçicileri, faz 1 ve faz 2 önerilerini ve kaynak adresi yazın. Bu dört değer site-to-site arızalarının çoğunu çağrı olmadan açıklar.

İlgili makaleler