IKEv2 mijoziga uning ajratilgan virtual IP manzilida yetib borish

Shlyuzdan IKEv2 mijoziga boshlangan so'rov mos selektor, to'g'ri mahalliy manba va yetib boriladigan manzildagi tinglovchini talab qiladi. Uchtasini ham tekshiring.

Shlyuz IKEv2 orqali o'ziga ulangan noutbukka ulanishni boshlashi va buning uchun o'sha mijozga ajratilgan virtual manzildan foydalanishi kerak. Tunnel ko'tarilgan, mijoz shlyuz ortidagi hamma narsaga yetadi, ammo qarama-qarshi yo'nalish hanuz ishlamaydi. Bu assimetriya normal: kelishilgan siyosat qaysi manzillar gaplasha olishini tavsiflaydi, qaysi tomon boshlashi mumkinligini emas. Shlyuzdan boshlangan so'rov ishlashi uchun uch narsa mos kelishi kerak.

Tunnel manba manzilini tuzatmaydi

CHILD SA trafik selektorlarining juftini qamrab oladi, har bir tomon uchun bittadan, va o'sha juftning ikkala yo'nalishida trafikka ruxsat beradi. U IKE almashinuvini qaysi sherik birinchi ochgani haqida hech narsa demaydi. Dastlab tunnelni tinglagan shlyuz birinchi dastur paketini hanuz yuborishi mumkin, agar tanlangan manba va manzil o'rnatilgan selektorlar ichida bo'lsa. So'rov noto'g'ri interfeysdan chiqsa, u tunnel uchun yaroqsiz bo'ladi.

Mijoz tomon marshrutlash zarur va yetarli emas. Siyosat siz haqiqatan ishlatgan manbani qabul qilishi kerak.

O'rnatilgan siyosatni o'qing, konfiguratsiya faylini emas

Faol assotsiatsiya va uning selektorlaridan boshlang, chunki dinamik ajratish yadroda o'rnatilgan narsani o'zgartiradi.

ipsec statusall
ip xfrm policy

Holat chiqishi ulanish, ajratilgan virtual manzil va o'sha sherik uchun hozir amal qilayotgan selektorlarni nomlaydi. Siyosat dumpsi xuddi shu selektorlarni yadro holati sifatida ko'rsatadi va paket tanlovi aslida o'shandan maslahat oladi. Shlyuz tomonidagi selektorni ilovangiz ishlatadigan manba bilan solishtiring, chunki nomuvofiqlik muvaffaqiyatsizlikni darhol tushuntiradi. Mijozning joriy manzilini o'qing, avvalgi sessiyadan bo'lganini emas, chunki qayta ajratilgan VIP eski siyosatni bekor qiladi.

Mijoz paket keladigan joyda tinglashi kerak

Hatto mukammal siyosat ham xizmat faqat loopback-ga bog'langanda yopiq portga yetadi. Tinglovchi ajratilgan manzilda yoki mahalliy joker manzilda bo'lishi kerak.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Soketlar ro'yxati port virtual manzilga bog'langanini, tarmoq devori qoidalari esa himoyalangan manbadan yangi ulanishlar qabul qilinishini ko'rsatadi. O'rnatilgan ulanishlar uchun yozilgan qoida shlyuz boshlagan ulanishni o'tkazmaydi. Xizmatning o'z autentifikatsiyasini saqlang, chunki tunneldan kelish paket qaysi tarmoqdan kelganini aniqlaydi xolos. O'z NAT'i orqasidagi mijoz hanuz kiruvchi portni yo'naltirishga muhtoj emas, chunki bu so'rovlar mavjud tunnel ichida harakatlanadi.

Yangi yo'nalishni alohida sinab ko'ring

Mijozdan serverga muvaffaqiyatli so'rov hech qachon bu yo'lni sinamaydi. So'rovni shlyuzdan yarating va ikkala uchini kuzating.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Marshrut qidiruvi shlyuz qaysi manba va interfeysdan foydalanishini javob beradi va siyosat qabul qilishi kerak bo'lgan qiymat shu. Yozuv so'rovning ochiq interfeysda oddiy TCP sifatida emas, ESP ichida chiqishini ko'rsatishi kerak. Mijozda yetib kelish va xizmat javob berganini tasdiqlash uchun shifri ochilgan trafikni yozib oling. Agar so'rov tarmoqda ESP-siz yo'qolsa, mijozning tarmoq devoridan oldin manba manzilidan shubhalaning.

Kalit almashinuvidan yoki qayta ulanishdan keyin testni takrorlang, chunki VIP o'zgarishi mumkin. Faqat keyingi sessiyagacha ishlaydigan yo'l ishlaydigan yo'l emas.

O'xshash maqolalar