XFRM standart marshruti IKE va ESPni yutib yubordi: tashqi yo'lni saqlang

Trafik himoyalangan, tunnel ishlayapti, keyin keyingi kalit yangilanishida u o'ladi. XFRM interfeysi orqali o'tuvchi standart marshrut siz himoya qilmoqchi bo'lgan trafikni tavsiflagan edi. U himoyani davom ettirish uchun kerak bo'lgan paketlarni ham yutib yubordi.

Ishtirok etayotgan ikki manzil bir-birining o'rnini bosa olmaydi. Marshrutlash buni ochiq aytishi kerak.

Peer qidiruvi aslida qayerga boradi

Faol qoidalarni, XFRM marshruti joylashgan jadvalni va peerning ommaviy manzilini yozib oling. Keyin tashqi ulanish o'zining haqiqiy manbasi va belgisi bilan qaysi yo'lni tanlashini ko'ring. Umumiy manzil bu boshqaruv yo'li haqida hech narsa aytmaydi. Faqat haqiqiy manba va belgi foydali javob beradi.

Muvaffaqiyatli dastlabki ulanish ham ko'p narsani isbotlamaydi. Xatolik ko'pincha marshrut o'rnatilishi javobni o'zgartirgandan keyin paydo bo'ladi. Ishga tushish muvaffaqiyatli, keyin birinchi yangilanish emas.

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

Agar peer uchun qidiruv XFRM interfeysiga tushsa, tashqi paketlar o'zlari qurayotgan tunnelga yo'naltiriladi. Bu — bitta buyruqda ko'rinadigan halqa.

Zamonaviy shlyuzda chiqarib tashlash variantlari

strongSwanning marshrutga asoslangan VPN hujjatlari ikkita amaliy javobni keltiradi. Biri IKE va ESPni belgilaydi, XFRM jadvaliga ishora qiluvchi qoida ularga tegmasligi uchun. Ikkinchisi qidiruv hali yetib boradigan peer yo'lini yoki chiqarib tashlashni qoldiradi.

Qoidalar to'plamingiz yon ta'sirsiz ifodalay oladiganini tanlang. Stekning qolgan qismi allaqachon belgilardan foydalansa, belgi toza bo'ladi. Bir xil mask boshqa qoidada boshqa ma'no bersa, bu xavf. Ikkala paket turi ham baribir bu ishlovga muhtoj.

Faqat IKE ni belgilash ma'lumot paketlarini ushlangan yo'lda qoldiradi. Bu qo'l berib ko'rishgandan keyin hech narsa tashimaydigan tunnel hosil qiladi.

Belgi — shlyuzda boshqa hech narsa da'vo qilmaydigan paket fwmarkidagi bitta bit: 0x1 va 0x1 maskasi odatiy tanlov, va chiqarib tashlash ishlashi uchun uni ikki joyda o'rnatish kerak. Charon unga IKE soketida muhtoj, va child ulanishning kiruvchi va chiquvchi belgi sozlamalari ham xuddi shu qiymatga muhtoj, inkapsulyatsiya qilingan paketlar ham belgilangan holda chiqishi uchun. 0xffffffff o'rniga 0x1 maska qolgan bitlarni bo'sh qoldiradi, bu bir xil hostda boshqa quyi tizim allaqachon paketlarni belgilab turgan bo'lsa muhim. Ikkalasi o'rnatilganda, qoida chiqarib tashlash sifatida yoziladi, shuning uchun belgilangan paketlar XFRM marshruti joylashgan jadvalni chetlab o'tib, asosiy jadvalga tushadi:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

Keyin javobni belgi qo'llangan holda o'qing. Busiz siz himoyalangan trafik o'tadigan yo'lni tekshirasiz, bu esa ushbu bo'lim savolining aksi.

Avtomatik o'rnatish qurilish haqida nimani nazarda tutadi

XFRM interfeysi uchun avtomatik marshrut o'rnatish strongSwan versiyasi va uning konfiguratsiyasiga bog'liq. Interfeys ID, o'rnatilgan siyosat va assotsiatsiya barchasi mo'ljallangan obyektlarga ishora qilishi kerak. Nomuvofiqlik jimgina qandaydir haqiqiy joyga ishora qiluvchi marshrut sifatida ko'rinadi.

Boshqa shlyuzdan jadval raqami yoki belgi maskasini ko'chirish — to'qnashuvlar shu tarzda boshlanadi. Avval undan nima foydalanayotganini tekshiring. To'qnashuv siz o'zgartirmoqchi bo'lgan tunneldan ancha uzoqdagi trafikka ta'sir qiladi va alomat kamdan-kam nusxaga ishora qiladi.

Peer manzilining o'zgarishlari dizaynning bir qismi. Kechagi manzil uchun host marshruti oxirgi nuqtani tiklash rejasi emas, belgi esa bu o'zgarishga bardosh beradi.

Birinchi yangilanishni kuzating

Tashqi yo'lni himoyalangan marshrutlar o'rnatilgandan keyin tekshiring, oldin emas. Keyin keyingi yangilanishni va bitta ilova almashinuvini kuzating. Xatolik odatda ishga tushishda emas, o'sha o'tishda paydo bo'ladi.

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

Himoyalangan standart marshrutni vaqtincha olib tashlash odatda ulanishni tiklaydi. Bu natija diagnostik, yakuniy emas.

Maqsad — ichki trafik va uni tashuvchi tashqi paketlar o'rtasida barqaror bo'linish. Tanlangan mexanizmni va uning jadvali yoki belgisini shlyuz eslatmalariga yozing. Aks holda qoidalarga tegadigan keyingi odam halqani yana kiritadi.