Bir nechta quyi tarmoqli IPsec qaytish trafigini yo'qotadimi? reqid-larni sanang

Trafik bir joydan chiqib, hech qachon qaytmaydi, ikkala shlyuz ham tugallangan muzokara haqida xabar beradi va yagona belgi — javobsiz chiquvchi paketlar uyumi. Linux so'nggi nuqtasida odatiy sabab shifrlash kuchi, MTU yoki marshrutlash jadvali emas. Bu siyosat yozuvlarining nozikligi va har bir siyosatni xavfsizlik assotsiatsiyasi bilan bog'laydigan raqam. Quyidagi tartib boshqa narsaga tegishdan oldin o'sha ikki bazani o'qiydi.

Biror narsani o'zgartirishdan oldin simptomni ajrating

Tugallangan IKE muzokarasi bilan bir tomonlama nosozlik muammoni ma'lumot yo'liga toraytiradi. Yoki chiquvchi siyosat mos keldi va javob tashlandi, yoki javob hech qachon kelmadi, chunki qarshi tomonda uni yuboradigan narsa yo'q edi. Ilova uchun ikkalasi bir xil ko'rinadi va xfrm bazalari ularni ajratadi.

MTU bilan boshlamang. Noto'g'ri MTU tiqilish va fragmentatsiya simptomlarini beradi, o'sib borayotgan chiquvchi hisoblagichlar bilan toza yo'nalish bo'linishini emas.

Siyosat bazasini va holat bazasini o'qing

Linuxda shifrlashni siyosat yozuvlari hal qiladi, shuning uchun mos siyosat, marshrut emas, paketni tunnelga kiritadi. Har bir yozuvning selektorlarini, yo'nalishini, ustuvorligini va shablonini ko'rish uchun ip xfrm policy, o'rnatilgan assotsiatsiyalarni reqid-lari bilan ko'rish uchun ip xfrm state ishga tushiring. Siyosat va assotsiatsiya shu reqid bilan bog'lanadi.

Uch yo'nalishning barchasiga qarang. Chiquvchi va kiruvchi bu hostga va undan trafikni qamrab oladi; yo'naltirish yo'nalishi host boshqalar uchun marshrutlaganda muhim. Bir yo'nalishda yo'q yoki mos kelmagan yozuv hech qanday kriptografik nosozliksiz bir tomonlama natijani tushuntiradi.

Klassik asimmetriya: bir nechta quyi tarmoq uchun bitta reqid

Keng tarqalgan nosozlik barcha kelishilgan quyi tarmoqlar siyosatini bitta reqid ostida o'rnatadigan hamkordan keladi, bu racoonning generate_policy require holatida bo'ladi. Keyin trafik oxirgi o'rnatilgan assotsiatsiya orqali chiqadi, qarshi tomon esa har bir quyi tarmoq uchun alohida assotsiatsiya saqlaydi. Javoblar reqid-i ularni qabul qilishi kerak bo'lgan siyosatni ko'rsatmaydigan assotsiatsiyaga keladi va yadro ularni deshifrlashdan keyin tashlaydi.

Tuzatish konfiguratsiya o'zgarishi, xavfsizlik devori qoidasi emas: generate_policy unique; har bir siyosatga o'z reqid-ini beradi, shuning uchun hamkorning siyosat bo'yicha assotsiatsiyalari mos hamkorlarga ega bo'ladi. Buni qo'llang, qayta muzokara qiling va muvaffaqiyat e'lon qilishdan oldin kutilgan quyi tarmoqlar uchun turli reqid-larni sanang.

Agar ikki quyi tarmoq hali ham bitta reqid bo'lishsa, qarshi tomon esa ikkitasini kutsa, siz asimmetriyani topdingiz. Moslikni yozib qo'ying, chunki bu keyingi o'zgarish uni tuzatgani yoki saqlab qolganining dalilidir.

Selektorlar konfiguratsiyangizdan emas, muzokaradan keladi

Himoyalangan diapazonlar bir tomon so'ragan emas, ikki uchi kelishgan diapazonlardir. Keng uzoq diapazonga qarshi host juftini taklif qilgan mijoz shlyuzning toraytirilgan versiyasini oladi va mijoz uni kengaytira olmaydi. Mahalliy faylingizdagi selektorlar o'rniga o'rnatilgan selektorlarni o'qing.

Maqsad teskari bo'lganda, ya'ni bitta manzilni tunneldan tashqarida saqlash kerak bo'lganda, avtomatik o'rnatilgan yozuvni yengish uchun ustuvorlik raqami pastroq chetlab o'tish siyosatini qo'shing. Shablonsiz siyosat ochiq matnga ruxsat beradi, bu uni sozlash qadami emas, o'zgarishlar jurnali uchun ataylab qilingan istisno qiladi.

Shu tartibda tekshiring va qanday orqaga qaytarishni biling

Har bir quyi tarmoq uchun siyosatlarni ikki yo'nalishda ro'yxatlang, host marshrutlasa yo'naltirish yo'nalishini ham qo'shing. Turli reqid-larni sanang va kutayotgan tomonda har bir siyosatga bittadan ekanini tasdiqlang. O'rnatilgan selektorlarni kelishilganlar bilan solishtiring. Kalit yangilangandan keyin assotsiatsiya bo'yicha hisoblagichlarni qayta o'qing, chunki tekshirgan assotsiatsiyangiz allaqachon ketgan bo'lishi mumkin. Marshrutlarni oxirida tekshiring, chunki uzoq quyi tarmoqqa marshrutning yo'qligi toza siyosat hisoblagichlari bilan o'xshash bir tomonlama simptom beradi.

Hamkorni o'zgartirishdan oldin ikkita xfrm buyrug'ining joriy chiqishini saqlang. Agar yangi parametr qaytish yo'nalishini tiklamasa, o'sha chiqishni tiklash tunnelni xotiradan qayta qurishdan tezroq orqaga qaytarishdir va taqqoslashni halol saqlaydi.