Регистрация Войти
Рейтинг:0
kita avatar Server

маршрутизация ipsec xfrm esp

флаг nc
kita

Мне нужна небольшая помощь/объяснение, почему следующий netsetup не работает:

PC1 (192.168.66.1) <-- PLAIN --> (192.168.66.2)PC-GW(192.168.88.2) <-- ESP --> (192.168.88.1) PC2

Я могу отправлять пакеты с ПК1 192.168.66.1 на ПК2 192.168.88.1, и ПК-GW инкапсулирует esp, а ПК2 получает пакеты esp, все работает нормально.

Но если я отправляю пакеты esp с ПК2 192.168.88.1 на ПК1 192.168.66.1, ПК-GW пересылает пакеты esp без декапсуляции/расшифровки, и ПК1 получает пакет esp.

Если обе системы используют ESP, все работает нормально:

ПК1 (192.168.66.1) <-- ESP--> (192.168.88.1) ПК2

Я пробовал несколько разных конфигураций, это команды, которые я использую:

ip xfrm state add src 192.168.66.1/32 dst 192.168.88.1/32 proto esp spi 0x01000000 reqid 0x01000000 mode transport aead 'rfc4106(gcm(aes))' 0x000000000000000000000000000000000000000000000000000000000000000000000000 128 sel src 192.168.66.1/32 dst 192.168.88.1/32
ip xfrm state add src 192.168.88.1/32 dst 192.168.66.1/32 proto esp spi 0x01000000 reqid 0x02000000 mode transport aead 'rfc4106(gcm(aes))' 0x000000000000000000000000000000000000000000000000000000000000000000000000 128 sel src 192.168.88.1/32 dst 192.168.66.1/32
ip xfrm policy add src 192.168.66.1/32 dst 192.168.88.1/32 dir out tmpl src 192.168.66.1/32 dst 192.168.88.1/32 proto esp reqid 0x01000000 mode transport
ip xfrm policy add src 192.168.88.1/32 dst 192.168.66.1/32 dir in tmpl src 192.168.88.1/32 dst 192.168.66.1/32 proto esp reqid 0x02000000 mode transport

С помощью tcpdump я захватил все интерфейсы.

Я не использую openswap, эта тестовая установка не является реальным сценарием использования. Это просто попробовать, и я хочу узнать, как это работает.

358
1 + 0
Рейтинг:1
avatar Server
флаг cn
ecdsa

Это не то, как предполагается использовать транспортный режим (т. е. с пересылаемым трафиком и IP-адресами, которые не являются локальными для системы). Возможно, вы захотите изучить Режим свеклы (никогда не стандартизировался), который аналогичен транспортному режиму тем, что не добавляет дополнительный IP-заголовок, но позволяет заменить IP-адреса источника и получателя, что поддерживается ядром Linux и некоторыми демонами IKE.

Сказав это, позвольте мне попытаться объяснить, что вы видите. Ядро Linux сначала сопоставляет пересылаемый трафик с вперед политики, но и против вне политик, поэтому исходящий трафик обрабатывается IPsec SA. Однако поиск IPsec SA для входящего трафика не выполняется, поскольку IP-адрес назначения не является локальным, т. е. этот трафик перенаправляется сразу же для обеспечения наилучшей производительности.

0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.