Селектори трафіку IPsec: що вони покривають, а що ні

Селектори трафіку називають внутрішній трафік, який захищає угода IPsec, і пара узгоджується, а не припускається. Дві кінцеві точки можуть ідеально автентифікувати одна одну і все одно розходитися в тому, які пакети належать до внутрішньої частини тунелю. Ця розбіжність невидима в стані з’єднання, який зазвичай повідомляє про здоровий тунель. Читання селекторів з обох кінців і потім простежування одного призначення знаходить її швидше за будь-яке редагування політики.

Читайте їх з обох кінців

Кожна кінцева точка описує свій бік як локальний, а інший бік як віддалений. Тому одна і та сама пара префіксів виглядає перевернутою в двох конфігураціях, і це правильно, а не суперечливо. Перевернути перспективу — перше, що треба зробити, коли робоча угода на папері виглядає неправильно. Порівняння двох файлів поруч без їх перестановки створює невідповідність, якої не існує.

Значення не завжди є окремими підмережами. Селектори IKEv2 можуть нести діапазони адрес, номери протоколів і діапазони портів, і так політика захищає одну службу замість усієї мережі. Селектор, вужчий за передбачуваний трафік, створює тунель, який несе одні призначення й мовчки виключає інші.

Запишіть обидві сторони в одну таблицю, перш ніж щось змінювати. Ця вправа зазвичай вирішує питання, не торкаючись файлу конфігурації.

Звуження — рішення відповідальної сторони

Ініціатор пропонує, а відповідальна сторона може прийняти лише підмножину. IKEv2 дозволяє відповідальній стороні звузити запропоновані селектори трафіку, і саме звужений результат фактично встановлюється. Тому читання конфігурації ініціатора описує пропозицію, а не угоду.

Тому підмережа, додана до клієнта, може дати робочий тунель, який усе одно відхиляє нове призначення. Сервер звузив пропозицію до того, що дозволяє його політика, тоді як файл клієнта все ще перелічує ширший діапазон. Лише узгоджений стан показує правду: у Linux ip xfrm policy і список child SA у документації strongSwan з IKEv2 повідомляють, що встановлено, а не що запитано. Коли ці двоє розходяться, змінювати треба політику відповідальної сторони.

Відхилена пропозиція — це інший симптом, ніж звужена. Відмова з’являється в журналі переговорів і взагалі не залишає зв’язку child.

Простежте одне призначення від початку до кінця

Виберіть реальне призначення та адресу джерела, яку клієнт використав би для нього, потім проведіть цю пару через три незалежні рішення. Маршрут вибирає шлях, селектор вирішує, чи цей шлях захищений, а міжмережевий екран вирішує, чи дозволено пакет. Кожне може зазнати невдачі саме по собі, і широкий селектор не виправляє жодного з решти.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Запит маршруту називає інтерфейс і адресу джерела, які понесли б пакет. Список політик показує, чи існує відповідна тунельна політика для цієї пари, включно з її напрямком і рівнем. Список SA показує узгоджені селектори child разом із лічильниками, тому зв’язок child з нулем пакетів після спроби трафіку — це підпис селекторів, що виключають те, що надсилається. Три команди, три різні відповіді, і лише одна з них пояснює тихе відкидання.

Якщо лічильники child рухаються, а застосунок досі зазнає невдачі, проблема за межами тунелю. Це переносить розслідування до слухача або міжмережевого екрана віддаленого хоста, а не до селекторів.

Тримайте дві цілі окремо

Захист офісної підмережі й надсилання всього перегляду через віддалений вихід — це різні вимоги з різними селекторами. Профіль, створений для одного, рідко підходить для іншого, а їх змішування дає або витік, або зламаний поділ. Розширення захищеного діапазону означає зміну обох кінцевих точок і їхньої політики пересилання, бо одностороння зміна стає відхиленою пропозицією. Це найпоширеніший спосіб, яким робочий тунель перестає працювати після невеликої правки.

Селектори описують криптографічне покриття, маршрути вибирають шляхи, а застосунки застосовують власні дозволи. Тунель, що покриває все, усе одно не досягне служби, прив’язаної до loopback, а маршруту в тунель усе одно потрібен селектор, що включає призначення. Перевірте всі три на одному тестовому запиті, і невідповідність назве себе сама.