XFRM varsayılan rotası IKE ve ESP'yi yuttu: dış yolu koruyun

Trafik korunuyor, tünel ayakta, sonra bir sonraki anahtar yenilemesinde ölüyor. XFRM arayüzünden geçen varsayılan rota, korumak istediğiniz trafiği tanımlıyordu. Korumayı sürdürmek için gereken paketleri de yuttu.

Söz konusu iki hedef birbirinin yerine geçmez. Yönlendirme bunu açıkça söylemek zorunda.

Eş araması gerçekte nereye gider

Etkin kuralları, XFRM rotasını tutan tabloyu ve eşin genel adresini kaydedin. Ardından dış bağlantının gerçek kaynağı ve işaretiyle hangi yolu izleyeceğine bakın. Genel bir hedef bu denetim yolu hakkında hiçbir şey söylemez. Yalnızca gerçek kaynak ve işaret yararlı bir yanıt verir.

Başarılı bir ilk bağlantı da pek bir şey kanıtlamaz. Hata çoğu zaman bir rota kurulumunun yanıtı değiştirmesinden sonra ortaya çıkar. Başlangıç başarılı olur, ardından ilk yenileme olmaz.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Eş için arama XFRM arayüzünde sonlanırsa, dış paketler kendi kurdukları tünele yönlendiriliyor demektir. Döngü budur ve tek komutta görülür.

Modern bir ağ geçidinde dışlama seçenekleri

strongSwan'ın rota tabanlı VPN belgeleri iki pratik yanıt sunar. Biri IKE ve ESP'yi işaretler, böylece XFRM tablosuna işaret eden kural onlarla eşleşmez. Diğeri, aramanın hâlâ ulaşabileceği bir eş rotası veya dışlama bırakır.

Kural kümenizin yan etkisiz ifade edebildiğini seçin. Yığının geri kalanı zaten işaret kullanıyorsa işaret temizdir. Aynı maske başka bir kuralda başka bir anlama geliyorsa tehlikelidir. İki paket türü de her hâlükârda bu işleme ihtiyaç duyar.

Yalnızca IKE'yi işaretlemek veri paketlerini yakalanan yolda bırakır. Bu, el sıkışması yapıp sonra hiçbir şey taşımayan bir tünel üretir.

İşaret, ağ geçidinde başka hiçbir şeyin talep etmediği paket fwmark'ında tek bir bittir: 0x1 ve maske 0x1 olağan seçimdir ve dışlamanın çalışması için iki yerde ayarlanması gerekir. Charon bunu IKE soketinde ister ve alt bağlantının gelen ve giden işaret ayarları da aynı değeri ister, böylece kapsüllenmiş paketler de işaretli çıkar. 0xffffffff yerine 0x1'lik bir maske kalan bitleri serbest bırakır; bu, aynı ana makinede başka bir alt sistem zaten paketleri işaretliyorsa önemlidir. İkisi de ayarlandığında kural bir dışlama olarak yazılır, böylece işaretli paketler XFRM rotasını tutan tabloyu atlar ve ana tabloya düşer:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Ardından yanıtı işaret uygulanmış olarak okuyun. Bu olmadan korunan trafiğin izlediği yolu incelersiniz, ki bu bölümün sorusunun tam tersidir.

Otomatik kurulumun derleme hakkında varsaydığı şey

XFRM arayüzü için otomatik rota kurulumu strongSwan sürümüne ve yapılandırmasına bağlıdır. Arayüz kimliği, kurulu politika ve ilişkilendirme hepsi amaçlanan nesnelere atıfta bulunmalıdır. Uyumsuzluk, sessizce gerçek bir yeri işaret eden bir rota olarak görünür.

Bir tablo numarasını veya işaret maskesini başka bir ağ geçidinden kopyalamak, çakışmaların başlama biçimidir. Önce onu neyin kullandığını kontrol edin. Çakışma, değiştirmek istediğiniz tünelin çok ötesindeki trafiği etkiler ve belirti nadiren kopyayı işaret eder.

Eş adresi değişiklikleri tasarımın parçasıdır. Dünün adresine ait bir ana makine rotası uç nokta kurtarma planı değildir, oysa işaret bu değişikliği atlatır.

İlk yenilemeyi izleyin

Dış yolu korunan rotalar kurulduktan sonra kontrol edin, öncesinde değil. Ardından bir sonraki yenilemeyi ve bir uygulama alışverişini izleyin. Hata genellikle başlangıçta değil, o geçişte ortaya çıkar.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Korunan varsayılan rotayı geçici olarak kaldırmak genellikle bağlantıyı geri getirir. Bu sonuç tanısaldır, nihai değildir.

Amaç, iç trafik ile onu taşıyan dış paketler arasında istikrarlı bir ayrımdır. Seçilen mekanizmayı ve tablosunu veya işaretini ağ geçidi notlarına yazın. Aksi hâlde kurallara dokunan bir sonraki kişi döngüyü yeniden getirir.