Nega IPsec xavfsizlik siyosati marshrutlash jadvalining yozuvi emas

Tunnel orqali 10.20.0.5 ga ping yuboring va hech narsa qaytmaydi, marshrutlash jadvali esa bu quyi tarmoqqa yetish mumkinligini ta'kidlaydi. Marshrutlash va IPsec turli savollarga javob beradi va ulardan faqat bittasi yetish imkoniyati haqida. Oldinga qidiruv yo‘lni tanlaydi, so‘ng xavfsizlik siyosati ma'lumotlar bazasi bu yo‘lni himoya qilish, o‘z holida qoldirish yoki rad etish kerakligini hal qiladi. Ikkisi kelishmasa, paket jimgina o‘ladi, shuning uchun ularni shu tartibda o‘qing.

Jadvaldan emas, qidiruvdan boshlang

Yadrodan aslida nima qilishini so‘rang: ip route get 10.20.0.5 tanlangan marshrutni, chiqish interfeysini va ishlatiladigan manba manzilini chiqaradi. Prefiks, siyosat qoidasi, belgi yoki afzal manba bu javobni o‘zgartirishi mumkin, shuning uchun jonli qidiruv jadvalni ko‘z bilan o‘qishdan ustun.

Himoyalangan diapazon ichidagi manzilni sinang, shlyuz manzilini emas. Narigi tomondagi shlyuzga yetish faqat qandaydir marshrut borligini isbotlaydi; sizga aslida kerak bo‘lgan quyi tarmoq haqida hech narsa demaydi. So‘ng qidiruv tanlagan interfeys tunnel ishlatishini kutganingiz ekanligini tasdiqlang.

Ikkala tomonda selektorlarni moslashtiring

Siyosat ma'lumotlar bazasining o‘z yozuvlari bor va har biri yo‘nalish, manba, manzil va protokolni nomlaydi, so‘ng mos keladigan paketlar bilan nima bo‘lishi kerakligini aytadi. Ularni ro‘yxatlash uchun ip xfrm policy dan foydalaning; bayroqlar amal himoya, chetlab o‘tish yoki bloklash ekanini ko‘rsatadi. Selektorlari sinov oqimingizdan kengroq yoki torroq bo‘lgan siyosat unga mos kelmaydi va paket himoyasiz chiqadi. Siz izlayotgan nosozlik shu, yo‘qolgan marshrut emas.

Haqiqiy qiymatlarni solishtiring: manba, manzil, protokol va portlar. Agar qidiruv bir manzil juftini hal qilgan bo‘lsa, siyosat yozuvi boshqasini qamrab olsa, ikki ko‘rinish turli trafikni tasvirlaydi. Xulosa qilishdan oldin ikkalasini ham bir xil kortej bilan qayta ishga tushiring, aks holda yo‘lda hech qachon bo‘lmagan siyosatni tahrirlaysiz.

Siyosat mosligi o‘rnatilgan holat emas

Mos keluvchi siyosat faqat paket himoyalanishi kerakligini aytadi; himoyani bajarish uchun yadroga hali ham xavfsizlik assotsiatsiyasi kerak. Ularni ip xfrm state bilan yoki strongSwan muzokara olib borganda swanctl --list-sas bilan ro‘yxatlang va har bir yozuvning selektorlari va hisoblagichlarini o‘qing.

Siyosat mos kelib, hech bir assotsiatsiya o‘sha selektorlarni qamrab olmasa, paket ochiq matnda yuborilish o‘rniga tashlab yuboriladi. Tunnel ishlab turgani holda bitta quyi tarmoq ishlamay qolganda izlash kerak bo‘lgan tashlash shu. Hisoblagichlar qolganini aytadi: hech qachon o‘smaydigan assotsiatsiya hech qachon tanlanmagan, o‘sib borib baribir tashlash bilan tugaydigan assotsiatsiya esa uzoq tomonga ishora qiladi. Selektorlarni tuzatish va kalitlarni yangilash turli tuzatishlar, shuning uchun konfiguratsiyaga tegishdan oldin qaysi biri kerakligini hal qiling.

Marshrutga asoslangan tunnel hali ham nima talab qiladi

XFRM interfeysi tunnelni marshrutlash mumkin bo‘lgan qurilmaga o‘xshatadi, bu haqiqatan foydali. Ammo paket u yerga yetib borgach nima bo‘lishini hal qiladigan siyosat va holatni olib tashlamaydi. Marshrut keyingi sakrashni beradi, undan boshqa narsani emas.

Agar qurilma mavjud bo‘lib, marshrut unga ishora qilsa, lekin hech bir assotsiatsiya ichki selektorlarga mos kelmasa, paket tashlanadi va marshrutlarni qanchalik tahrirlamang, kalit yoki selektor hosil bo‘lmaydi. Interfeysni marshrutlagan bir xil manba va manzil bilan tekshiring, so‘ng uni holatlar ro‘yxati bilan solishtiring.

Biror narsani tahrirlashdan oldin egalikni aniqlang

Xostning xavfsizlik devori ikkala ma'lumotlar bazasi ham bilmaydigan uchinchi qarorni qo‘shadi. To‘g‘ri marshrut va mos siyosat va o‘rnatilgan assotsiatsiya baribir tashlangan paket bilan tugashi mumkin, dastur esa faqat vaqt tugaganini xabar qiladi. IPsec ni ayblashdan oldin xavfsizlik devori himoyalangan trafikka ruxsat berishini tasdiqlang. Tunnel qurilmasida va jismoniy interfeysda ushlash paket shifrlashning qaysi tomonida yo‘qolganini ko‘rsatadi.

Konfiguratsiya egaligi sizning tuzatishingiz qayta ishga tushirishdan keyin saqlanib qolishini hal qiladi. Bir komponent holat o‘rnatishi mumkin, boshqasi marshrutlarni boshqaradi va ikkinchisiga qo‘lda kiritilgan o‘zgartirish tunnel keyingi marta ko‘tarilganda qayta yoziladi. Ega konfiguratsiyani o‘zgartiring, so‘ng ikki ko‘rinishni qayta o‘qing; RFC 4301 bu bo‘linishni boshqasiga tushuntirish kerak bo‘lganda ikki ma'lumotlar bazasini alohida saqlaydi.