IPsec siyosati mahalliy trafikingizni yutmoqda: buni qanday aniqlash mumkin

Stol ustidagi printer tunnel ko‘tarilishi bilanoq javob berishni to‘xtatadi va tunnel konfiguratsiyasida printer haqida hech narsa aytilmaydi. Odatda himoyalangan diapazon uni qamrab oladigan darajada keng yozilgan bo‘lib, mashina endi mahalliy segmentda qolishi kerak bo‘lgan trafikni shifrlashga urinadi. O‘rnatilgan siyosatni o‘qish ushlashni tushuntiradi; uni to‘g‘ri joyda toraytirish uzoq trafikni himoyalangan holda saqlaydi. Muvaffaqiyatsiz so‘rovdan mos siyosatgacha bo‘lgan yo‘l bir necha daqiqa oladi.

Selektorni o‘zgartirishdan oldin oqimni kuzatib chiqing

Muvaffaqiyatsiz so‘rovdan boshlang va to‘rtta qiymatni yozib oling: mashina ishlatadigan manba manzili, aniq manzil, yadro tanlaydigan marshrut va bu juftlikka mos keladigan siyosat.

Bu to‘rtta fakt ushlash qasddan yoki tasodifiy ekanini hal qiladi. Uzoq selektor ichiga tushadigan manzil dizayn bo‘yicha himoyalanadi, dizayn noto‘g‘ri bo‘lsa ham. Uning tashqarisida bo‘lib, baribir ushlanadigan manzil boshqa narsa mos kelayotganini bildiradi va selektorni o‘zgartirish yordam bermaydi. Ikkala holat ham keng tarqalgan va ularni bitta buyruq ajratadi.

Buni biror narsani tahrirlashdan oldin qiling, chunki qiziq holat ulanish himoya qiladigan xususiy diapazon bilan ustma-ust tushadigan mahalliy subnetdir. 192.168.0.0/16 kabi tanish prefikslar ko‘plab tarmoqlarda uchraydi va ulardan biri uchun yozilgan selektor siznikini jimgina qamrab olishi mumkin.

O‘zini boshqacha tutadigan uch xil mahalliy tur

Bu hostga tayinlangan manzil, xuddi shu bog‘lanishdagi manzil va boshqa interfeys orqasidagi manzil uch xil holdir. Yadro trafik himoyaga muhtojmi-yo‘qmi, deb qaror qilganda ularning har birini boshqacha ko‘rib chiqadi.

Shlyuzning o‘zi yaratadigan trafik ham mijozdan uzatiladigan trafik bilan bir xil emas. Uzatiladigan trafik uchun to‘g‘ri ko‘rinadigan siyosat shlyuzning o‘z boshqaruv sessiyasini ushlab qolishi mumkin va administrator tunnelni tuzatayotganda kirishni shu tarzda yo‘qotadi.

Foydali odat holatni ovoz chiqarib nomlashdir: bu paket mendan keladimi, mening bog‘lanishimga ketadimi yoki mendan o‘tadimi? Har bir javob toraytirish uchun boshqa joyni ko‘rsatadi. Holatni yozib qo‘yish keyingi odamning xuddi shu ishni qaytadan qilishining oldini oladi.

Himoyalangan diapazon butun xususiy makon bo‘lsa, uchala holat bir vaqtning o‘zida uning ichiga tushishi mumkin va alomat tunnel oxirgi nuqtasidan boshqa hech qayerga yetmaydigan mashinaga aylanadi.

O‘rnatilgan siyosatni o‘qing, faylni emas

Konfiguratsiya fayllari niyatni tasvirlaydi; yadro haqiqatda mos keladigan siyosatlarni saqlaydi. Ikkalasini ham ko‘rsating va nomuvofiqlikni birinchi topilma deb qabul qiling.

Bu buyruqlar manzil uchun tanlangan marshrutni va har bir yo‘nalishda o‘rnatilgan siyosatlarni ko‘rsatadi:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

Marshrut paket qaysi interfeysdan foydalanishini aytadi. Siyosatlar ro‘yxati bu paketga keyin shablon qo‘llanilishini aytadi, ulanishlar ro‘yxati esa daemon qaysi selektorlarni o‘rnatgan deb hisoblashini ko‘rsatadi. Manzil uzoq selektorda paydo bo‘lsa, ushlashni taxmin qilmasdan topdingiz.

Selektorni toraytiring yoki manzildan chetlab o‘ting

Ikkita qo‘llab-quvvatlanadigan tuzatish bor va ular turli savollarga javob beradi. Selektorni toraytirish bu ulanish faqat kichikroq diapazonni himoya qiladi, deydi; bu kengroq diapazon xato bo‘lsa to‘g‘ri. Chetlash qo‘shish bu aniq manzil hech qachon himoyalanmasligi kerak, deydi; bu himoyalangan diapazon chindan ham keng bo‘lsa va bitta manzil istisno bo‘lsa to‘g‘ri.

Imkoni bo‘lsa birinchisini tanlang, chunki kichikroq selektor haqida fikr yuritish osonroq va u ulanish ta’rifida ko‘rinadi. Keng diapazon qasddan bo‘lsa va istisno nomlash mumkin bo‘lgan bitta host yoki subnet bo‘lsa, ikkinchisini tanlang.

Ikkalasi ham ulanishga egalik qiladigan konfiguratsiyaga tegishli. Qo‘lda qo‘shilgan ish vaqti qoidasi keyingi qayta ulanishda yo‘qoladi va nosozlik hech kim vaqtinchalik yechimni eslamaydigan paytda qaytadi.

Qayta o‘rnatishdan omon qoladigan istisnolar

O‘zgarishdan keyin xuddi shu zararsiz so‘rovni takrorlang va xuddi shu hisoblagichlarga qarang. Mahalliy manzil javob berishi, mo‘ljallangan uzoq manzil esa hali ham shifrlangan trafikni ko‘rsatishi kerak.

Bu ikki tekshiruv istisno omon qolganini, himoya esa qolmaganini tasdiqlaydi:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

So‘ng tunnelni qasddan uzing va qayta ulang, ikkalasini takrorlang. Qayta ulanishdan oldin ishlab, keyin muvaffaqiyatsiz bo‘lgan istisno noto‘g‘ri qatlamga qo‘llanilgan va bu muammoning qaytishining eng keng tarqalgan yo‘lidir.