No fim de semana passado, tivemos uma atualização automática de segurança em um de nossos gateways VPN que conectam sites ao nosso ambiente de nuvem. Depois de realizar a solução de problemas (por meio de solução de problemas básicos de rede, por exemplo, via Wireshark), identificamos uma das atualizações de segurança mais recentes como a causa disso. Restauramos o sistema para um estado conhecido e colocamos (acreditamos que sejam) os pacotes afetados em espera.
É uma instância Ubuntu 20.04 LTS na AWS com linux-image-aws instalado. Estamos usando IPsec para conectar vários EdgeRouters a um ambiente de nuvem privada.
Após a atualização, todos os sites se conectam e se comunicam normalmente, por exemplo, o ICMP está funcionando, mas não conseguimos acessar determinados serviços (como RDP ou SMB) no ambiente de nuvem privada.
Os logs de alterações dos pacotes relacionados não mostram nenhuma alteração vinculada óbvia, por isso estou me perguntando se estou perdendo algo fundamental. Esta configuração/configuração funcionou bem por mais de um ano sem problemas.
Boa versão conhecida: linux-image-aws 5.8.0.1041.43~20.04.13
Versão problemática: linux-image-aws 5.8.0.1042.44~20.04.14 e posteriores (também testamos a versão 5.11 mais recente, que parece ter sido afetada)
Extrato de configuração IPsec
# MAIN IPSEC VPN CONFIG
config setup
conn %default
keyexchange=ikev1
# <REMOVED>
conn peer-rt1.<REMOVED>.net.au-tunnel-1
left=%any
right=rt1.<REMOVED>.net.au
rightid="%any"
leftsubnet=172.31.0.0/16
rightsubnet=10.35.0.0/16
ike=aes128-sha1-modp2048!
keyexchange=ikev1
ikelifetime=28800s
esp=aes128-sha1-modp2048!
keylife=3600s
rekeymargin=540s
type=tunnel
compress=no
authby=secret
auto=route
keyingtries=%forever
dpddelay=30s
dpdtimeout=120s
dpdaction=restart
Agradeço antecipadamente.
EDIT 1: consegui capturar outro tcpdump de uma conexão RDP malsucedida após outra atualização de teste, semelhante a esta:
21:43:01.813502 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [S], seq 2706968963, win 64954, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
21:43:01.813596 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [S], seq 2706968963, win 64954, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
21:43:01.814238 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [S.], seq 152885333, ack 2706968964, win 64000, options [mss 1460,nop,wscale 0,nop,nop,sackOK], length 0
21:43:01.839105 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1, win 1025, length 0
21:43:01.839168 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1, win 1025, length 0
21:43:01.840486 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 1:48, ack 1, win 1025, length 47
21:43:01.840541 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 1:48, ack 1, win 1025, length 47
21:43:01.843746 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 1:20, ack 48, win 63953, length 19
21:43:01.922120 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 20, win 1025, length 0
21:43:01.922212 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 20, win 1025, length 0
21:43:01.932646 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 48:226, ack 20, win 1025, length 178
21:43:01.932729 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 48:226, ack 20, win 1025, length 178
21:43:01.940677 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 20:1217, ack 226, win 63775, length 1197
21:43:01.967343 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 226:408, ack 1217, win 1020, length 182
21:43:01.967417 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 226:408, ack 1217, win 1020, length 182
21:43:01.969452 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 1217:1324, ack 408, win 63593, length 107
21:43:02.044376 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1324, win 1020, length 0
21:43:02.044471 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1324, win 1020, length 0
21:43:02.135594 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 408:637, ack 1324, win 1020, length 229
21:43:02.135653 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 408:637, ack 1324, win 1020, length 229
21:43:02.136796 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 1324:2609, ack 637, win 63364, length 1285
21:43:02.212871 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 2609, win 1025, length 0
21:43:02.212940 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 2609, win 1025, length 0
Responder1
Sem se aprofundar nisso - talvez seja a remoção das cifras antigas e fracas como sha1 e aes128? Tente alterá-lo para aes256-sha256-modp2048 na versão funcional do kernel e depois atualize para ver se ele ainda quebra. Talvez também ikev2 em vez de ikev1? Mas isso é uma preocupação do espaço do usuário, não uma configuração do kernel.
Experimente…