IPsec trafik selektorlari: nimani qamrab oladi va nimani olmaydi

Trafik selektorlari IPsec kelishuvi himoya qiladigan ichki trafikni nomlaydi va juftlik taxmin qilinmaydi, kelishib olinadi. Ikki nuqta bir-birini mukammal autentifikatsiya qilishi va baribir qaysi paketlar tunnel ichida ekani haqida kelisha olmasligi mumkin. Bu kelishmovchilik ulanish holatida ko’rinmaydi, u odatda sog’lom tunnel haqida xabar beradi. Selektorlarni ikkala tomondan o’qib, keyin bitta manzilni kuzatish uni har qanday siyosat tahriridan tezroq topadi.

Ularni ikkala tomondan o’qing

Har bir nuqta o’z tomonini mahalliy, ikkinchi tomonini uzoq deb tasvirlaydi. Shuning uchun bir xil prefikslar jufti ikki konfiguratsiyada almashtirilgan holda ko’rinadi va bu to’g’ri, ziddiyatli emas. Nuqtai nazarni teskari qilish ishlayotgan kelishuv qog’ozda noto’g’ri ko’ringanda birinchi qilinadigan ishdir. Ikki faylni almashtirmasdan yonma-yon solishtirish mavjud bo’lmagan nomuvofiqlik yaratadi.

Qiymatlar har doim yakka subnetlar emas. IKEv2 selektorlari manzil oraliqlari, protokol raqamlari va port oraliqlarini olib yurishi mumkin va shu bilan siyosat butun tarmoq o’rniga bitta xizmatni himoya qiladi. Mo’ljallangan trafikdan tor selektor ba’zi manzillarni olib, boshqalarini jimgina chiqarib tashlaydigan tunnel yaratadi.

Biror narsani o’zgartirishdan oldin ikkala tomonni bitta jadvalga yozing. Bu mashq odatda konfiguratsiya fayliga tegmasdan savolni hal qiladi.

Toraytirish javob beruvchining qarori

Boshlovchi taklif qiladi va javob beruvchi faqat kichik to’plamni qabul qilishi mumkin. IKEv2 javob beruvchiga taklif qilingan trafik selektorlarini toraytirishga ruxsat beradi va toraytirilgan natija haqiqatda o’rnatiladigan narsadir. Shuning uchun boshlovchi konfiguratsiyasini o’qish taklifni tasvirlaydi, kelishuvni emas.

Shuning uchun mijozga qo’shilgan subnet yangi manzilni baribir rad etadigan ishlaydigan tunnel yaratishi mumkin. Server taklifni o’z siyosati ruxsat bergan darajaga toraytirdi, mijoz fayli esa hanuz kengroq oraliqni sanab turadi. Faqat kelishilgan holat haqiqatni ko’rsatadi: Linux da ip xfrm policy va strongSwan IKEv2 hujjatlaridagi child SA ro’yxati so’ralganini emas, o’rnatilganini xabar qiladi. Ikkisi zid bo’lsa, javob beruvchining siyosatini o’zgartirish kerak.

Rad etilgan taklif toraytirilgandan boshqa belgidir. Rad etish muzokaralar jurnalida ko’rinadi va hech qanday child bog’lanish qoldirmaydi.

Bitta manzilni boshidan oxirigacha kuzating

Mijoz ishlatadigan haqiqiy manzilni va u uchun ishlatadigan manba manzilini tanlang, keyin bu juftlikni uchta mustaqil qaror orqali o’tkazing. Yo’l yo’lni tanlaydi, selektor bu yo’l himoyalanganmi-yo’qmi hal qiladi, xavfsizlik devori esa paket ruxsat etilganmi-yo’qmi hal qiladi. Har biri yakka holda muvaffaqiyatsiz bo’lishi mumkin va keng selektor qolganlarning birortasini ham tuzatmaydi.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Yo’l so’rovi paketni olib o’tadigan interfeys va manba manzilini nomlaydi. Siyosatlar ro’yxati shu juftlik uchun mos tunnel siyosati bor-yo’qligini, uning yo’nalishi va darajasi bilan ko’rsatadi. SA ro’yxati kelishilgan child selektorlarini hisoblagichlar bilan ko’rsatadi, shuning uchun trafik sinab ko’rilgandan keyin nol paketli child bog’lanish yuborilayotgan narsani chiqarib tashlaydigan selektorlarning imzosidir. Uchta buyruq, uchta boshqa javob va ulardan faqat bittasi jimgina tushishni tushuntiradi.

Agar ilova hali ham muvaffaqiyatsiz bo’layotganda child hisoblagichlari harakatlansa, muammo tunneldan narida. Bu tekshiruvni selektorlarga emas, uzoq xostning tinglovchisi yoki xavfsizlik devoriga ko’chiradi.

Ikki maqsadni alohida saqlang

Ofis subnetini himoya qilish va barcha ko’rishni uzoq chiqish orqali yuborish har xil selektorli har xil talablardir. Biri uchun qurilgan profil ikkinchisiga kamdan-kam mos keladi va ularni aralashtirish yo oqish yoki buzilgan bo’linish beradi. Himoyalangan oraliqni kengaytirish ikki nuqtani va ularning uzatish siyosatini o’zgartirishni bildiradi, chunki bir tomonlama o’zgarish rad etilgan taklifga aylanadi. Kichik tahrirdan keyin ishlaydigan tunnel ishlashdan to’xtashining eng keng tarqalgan yo’li shu.

Selektorlar kriptografik qamrovni tasvirlaydi, yo’llar yo’lni tanlaydi va ilovalar o’z ruxsatlarini amalga oshiradi. Hammani qamrab olgan tunnel ham loopback ga bog’langan xizmatga yeta olmaydi va tunnelga kiruvchi yo’l hali ham manzilni qamrab oluvchi selektorni talab qiladi. Uchtasini bir sinov so’rovi bo’yicha tekshiring va nomuvofiqlik o’z nomini aytadi.