Lati strongSwan si AWS Site-to-Site: idi ti Child SA ko fi yan nkankan

Console fihan up, strongSwan sọ nipa ẹgbẹ IKE ti a ti fi idi mulẹ, ati awọn packet ko tii de. Ohun ti o tẹle lati ṣe afiwe kii ṣe kọkọrọ ti a pin tẹlẹ, bikoṣe bata awọn prefix ti ẹgbẹ kọọkan ro pe tunnel n daabobo wọn. Tẹle awọn ayẹwo ti o wa ni isalẹ ni ilana, nitori awọn meji akọkọ pinnu boya tunnel le gbe ọkọ rẹ rara.

Tumọ awọn orukọ AWS si awọn ọrọ strongSwan

AWS ṣe apejuwe asopọ lati ẹgbẹ onibara: adirẹsi ẹnu-ọna onibara ati CIDR agbegbe jẹ tirẹ, ati CIDR ti o jina jẹ ti VPC. strongSwan pe awọn opin meji ni left ati right, prefix rẹ wa ninu leftsubnet ati prefix VPC wa ninu rightsubnet. Yiyipada bata kan ṣe tunnel ti n ṣe idunadura ati yan ọkọ ti ko tọ.

Gba iṣeto ti AWS ṣe fun asopọ naa ki o ka si itọkasi fun asopọ yẹn gan, pẹlu awọn adirẹsi ati awọn prefix tunnel. Ti o ba fi awọn aaye CIDR mejeeji silẹ ni ofo nigba ṣiṣẹda, iṣẹ naa yoo lo 0.0.0.0/0 aiyipada ni ẹgbẹ kọọkan. Router ti a ṣeto pẹlu prefix dín kii yoo ba a mu lailai, nitorinaa boya kun awọn aaye naa tabi gbooro yiyan ni imọọmọ.

Aiyede nibi dabi ikuna ipa-ọna ṣugbọn kii ṣe bẹẹ.

Fi adirẹsi ti AWS rii gan mulẹ

Router lẹhin NAT le fi IKE ranṣẹ lati interface ti ẹgbẹ keji ko mọ rara. Adirẹsi ẹnu-ọna ti a gbasilẹ ni AWS gbọdọ jẹ eyi ti AWS rii lori nẹtiwọọki, ati pe router gbọdọ wa ni fidimule si adirẹsi agbegbe kanna dipo tẹle ipa-ọna aiyipada rẹ.

conn %default
    local_addrs = 203.0.113.10

Ninu strongSwan, local_addrs yan adirẹsi orisun fun IKE, ati awọn iṣeto OpenSwan atijọ kọ imọran kanna bi left. Darí rẹ si interface ti o ni adirẹsi gbangba, lẹhinna rii daju lori ẹrọ NAT funrararẹ pe UDP 500 ati 4500 de ọdọ agbalejo yẹn, nitori ofin ti o ku lati router iṣaaju n ju wọn silẹ ni idakẹjẹ. Bata yiyan ti o tọ pẹlu adirẹsi orisun ti ko tọ tun kuna, ati log yoo da ẹbi lori imọran naa. Ipadanu yẹn ni idi ti adirẹsi orisun fi tọ si ayẹwo tirẹ.

Jẹrisi ofin gbigbe siwaju dipo ro o, nitori ofin ti o tọ fun router ti tẹlẹ nigbagbogbo ku.

Ṣe itọju ipele 1 ati ipele 2 lọtọ

AWS fi awọn aṣayan IKE ati ESP han bi awọn atokọ lọtọ. Eto IKE ti ẹgbẹ mejeeji gba ko sọ nkankan nipa imọran ESP, nitori awọn atokọ mejeeji jẹ ominira. Ka awọn mejeeji lati iṣeto ti a ṣe ki o si fi wọn wéra ọkan-ọkan.

conn aws
    ike = aes256-sha1-modp1024
    esp = aes256gcm16

Sintaksi ko rin irin-ajo laarin awọn imuse. Bata ti o ṣiṣẹ ni OpenSwan, fun apẹẹrẹ phase2alg=aes_gcm pẹlu ike=aes256-sha1;modp1024, nilo itumọ si irisi esp= ati ike= ti strongSwan, ati awọn orukọ algoridimu yatọ. Nitori GCM n jẹri nigba ti n ṣe ìsekóòdù, ko nilo iyipada iduroṣinṣin lọtọ, yatọ si eto CBC ti a so pọ pẹlu SHA. Laini ipele 2 ti a lẹ mọ lati daemon kan si omiiran laisi itumọ n ṣe ijusilẹ ti a ka bi aiyede yiyan.

Ṣayẹwo ẹgbẹ ọmọ, kii ṣe atọka tunnel

Ti asopọ ba gbejade ṣugbọn ko si ẹgbẹ ọmọ ti o dide, boya imọran tabi awọn yiyan ni a kọ. Ti ọmọ ba dide ti awọn yiyan rẹ si yọ awọn prefix rẹ kuro, awọn packet ni a yọ kuro ṣaaju ki wọn to de tunnel. Atọka console bo ipele IKE nikan, nitorinaa ko le sọ eyi ti o ṣẹlẹ ninu awọn mejeeji.

ipsec statusall

Wa ẹgbẹ aabo ọmọ ki o ka awọn yiyan ọkọ ti a tẹ si ẹgbẹ rẹ, lẹhinna fi wọn wéra pẹlu awọn prefix lati iṣeto ti a ṣe.

Danwo lati agbalejo inu prefix agbegbe si agbalejo inu prefix VPC, ki o ṣayẹwo ipa-ọna ipadabọ pẹlu eyikeyi ẹgbẹ aabo tabi ACL nẹtiwọọki ni ẹgbẹ AWS. Awọn yiyan ti o tọ ko daabobo packet lati ju silẹ nigbamii.

Nigbati o tun kuna lẹhin ti awọn yiyan ba baamu

Jẹrisi pe ipa-ọna ni ẹgbẹ mejeeji tọka si tunnel, lẹhinna jẹrisi pe ẹrọ NAT ko tun kọ ọkọ ni ọna ti eto imulo ko reti. Tunnel ti o da lori eto imulo n ba awọn adirẹsi packet mu, nitorinaa itumọ ti a lo lẹhin ipinnu eto imulo yoo yi abajade pada.

Ṣe igbasilẹ packet kan ti n wọle ati ọkan ti n jade ni ẹgbẹ kọọkan ṣaaju ki o to yi imọran miiran pada.

Kọ sinu tikẹẹti awọn yiyan, awọn imọran ipele 1 ati ipele 2 ati adirẹsi orisun. Awọn iye mẹrin wọnyi ṣalaye pupọ julọ awọn ikuna site-to-site laisi ipe ni.