☰

Проблемы IPsec site-to-site VPN после недавнего обновления ядра Linux

tag-icon • tag-icon linux amazon-web-services ipsec
Проблемы IPsec site-to-site VPN после недавнего обновления ядра Linux

На прошлых выходных у нас было автоматическое обновление безопасности на одном из наших шлюзов VPN, которые соединяют сайты с нашей облачной средой. После устранения неполадок (с помощью базового устранения неполадок сети, например, через Wireshark) мы определили, что причиной этого является одно из последних обновлений безопасности. Мы восстановили систему до известного исправного состояния и установили (как мы считаем) на удержание затронутые пакеты.

Это экземпляр Ubuntu 20.04 LTS на AWS с установленным linux-image-aws. Мы используем IPsec для подключения нескольких EdgeRouter к частной облачной среде.

После обновления все сайты подключаются и взаимодействуют как обычно, например, ICMP работает, но мы не можем получить доступ к некоторым службам (таким как RDP или SMB) в среде частного облака.

Журналы изменений для связанных пакетов не показывают никаких очевидных связанных изменений, поэтому я задаюсь вопросом, не упускаю ли я что-то фундаментальное. Эта конфигурация/настройка работает хорошо уже больше года без каких-либо проблем.

Известно, что хорошая версия: linux-image-aws 5.8.0.1041.43~20.04.13

Проблемная версия: linux-image-aws 5.8.0.1042.44~20.04.14 и более поздние версии (мы также протестировали последнюю версию 5.11, которая, похоже, подвержена этой уязвимости)

Извлечение конфигурации IPsec

# MAIN IPSEC VPN CONFIG
config setup

conn %default
        keyexchange=ikev1

# <REMOVED>
conn peer-rt1.<REMOVED>.net.au-tunnel-1
        left=%any
        right=rt1.<REMOVED>.net.au
        rightid="%any"
        leftsubnet=172.31.0.0/16
        rightsubnet=10.35.0.0/16
        ike=aes128-sha1-modp2048!
        keyexchange=ikev1
        ikelifetime=28800s
        esp=aes128-sha1-modp2048!
        keylife=3600s
        rekeymargin=540s
        type=tunnel
        compress=no
        authby=secret
        auto=route
        keyingtries=%forever
        dpddelay=30s
        dpdtimeout=120s
        dpdaction=restart

Заранее спасибо.

ПРАВКА 1: Мне удалось захватить еще один tcpdump из неудачного RDP-подключения после очередного тестового обновления, который выглядит следующим образом:

21:43:01.813502 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [S], seq 2706968963, win 64954, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
21:43:01.813596 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [S], seq 2706968963, win 64954, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
21:43:01.814238 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [S.], seq 152885333, ack 2706968964, win 64000, options [mss 1460,nop,wscale 0,nop,nop,sackOK], length 0
21:43:01.839105 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1, win 1025, length 0
21:43:01.839168 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1, win 1025, length 0
21:43:01.840486 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 1:48, ack 1, win 1025, length 47
21:43:01.840541 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 1:48, ack 1, win 1025, length 47
21:43:01.843746 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 1:20, ack 48, win 63953, length 19
21:43:01.922120 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 20, win 1025, length 0
21:43:01.922212 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 20, win 1025, length 0
21:43:01.932646 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 48:226, ack 20, win 1025, length 178
21:43:01.932729 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 48:226, ack 20, win 1025, length 178
21:43:01.940677 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 20:1217, ack 226, win 63775, length 1197
21:43:01.967343 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 226:408, ack 1217, win 1020, length 182
21:43:01.967417 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 226:408, ack 1217, win 1020, length 182
21:43:01.969452 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 1217:1324, ack 408, win 63593, length 107
21:43:02.044376 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1324, win 1020, length 0
21:43:02.044471 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 1324, win 1020, length 0
21:43:02.135594 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 408:637, ack 1324, win 1020, length 229
21:43:02.135653 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [P.], seq 408:637, ack 1324, win 1020, length 229
21:43:02.136796 IP <REMOTE>.3389 > <LOCAL>.51099: Flags [P.], seq 1324:2609, ack 637, win 63364, length 1285
21:43:02.212871 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 2609, win 1025, length 0
21:43:02.212940 IP <LOCAL>.51099 > <REMOTE>.3389: Flags [.], ack 2609, win 1025, length 0

решение1

Не углубляясь в это - возможно, это удаление старых, слабых шифров, таких как sha1 и aes128? Попробуйте изменить его на aes256-sha256-modp2048 в рабочей версии ядра, а затем обновиться, чтобы посмотреть, будет ли он по-прежнему ломаться. Также, может быть, ikev2 вместо ikev1? Но это проблема пользовательского пространства, а не настройка ядра.

Попробуйте…

Связанный контент