Vyf adresrolle in 'n IPsec-profiel, en watter een is verkeerd
Eindpunt, identiteit, beskermde subnet, gateway-bron en volgende hop antwoord elkeen 'n ander vraag. Pas eers die simptoom by die veld.
Vyf verskillende take kry 'n adres in 'n tipiese verbindingsdefinisie, en hulle hoef nie met mekaar ooreen te stem nie. Administrateurs sit vas omdat 'n sinvolle instink, om al die velde na dieselfde gasheer te laat wys, vir ten minste drie van hulle verkeerd is. Die uitweg is om eers die simptoom te benoem en dan na die een of twee velde te kyk wat dit kan veroorsaak.
Die vyf take, in die volgorde waarin hulle saak maak
Die vervoer-eindpunt is waar die IKE-uitruiling afgelewer word. Die geauthentiseerde identiteit is die naam wat elke kant bewys, en dit word teen beleid getoets, nie teen 'n roetetabel nie. Die beskermde subnette is die keurders wat besluit watter binneste verkeer in die tonnel hoort. Dan is daar die bron wat gebruik word wanneer die gateway self 'n gesprek begin, en laaste die onderlaag-volgende-hop om die eweknie te bereik.
Deelnemer-etikette soos left en right is konvensies vir twee kante van 'n verbinding, nie sinonieme vir plaaslik en afgeleë nie. Lees die handleiding van die implementering wat werklik geïnstalleer is voordat jy aanvaar dat 'n sleutel beteken wat 'n ander produk daarmee bedoel het.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Beslissing een: niks vestig nie
Wanneer daar glad geen uitruiling in die logs verskyn nie, is die eindpunt die eerste verdagte: 'n verkeerde adres, 'n gefiltreerde pad, of 'n koppelvlak waarop die daemon nie luister nie. Skuif eers na die identiteitsvelde nadat 'n handdruk sigbaar is, want identiteit word binne die uitruiling beoordeel, nie voor dit nie. 'n Gefiltreerde pad en 'n verkeerde adres lyk identies van die kliënt af, so kontroleer die luisterkant voordat jy enigiets redigeer. Bevestig dat die daemon aan die koppelvlak gebind is wat jy verwag, want 'n diens wat op een adres luister lyk presies soos 'n geblokkeerde pad.
'n Openbare adres wat deur vertaling waargeneem word, is nie dieselfde ding as die identiteit wat 'n eweknie bewys nie. Om 'n adres te verander om te pas by wat 'n pakkie-opname aan die ander kant wys, is 'n algemene en verkeerde regstelling.
Beslissing twee: die tonnel is op en verkeer sterf
Keurders besluit wat die tonnel binnegaan, en 'n wanpassing hier lewer 'n verbinding wat suksesvol onderhandel terwyl die toepassing steeds faal. Die ander kant moet jou beskermde reeks as sy afgeleë reeks benoem, en dit is presies waar omgekeerde waardes insluip.
Lees beide konfigurasies langs mekaar voordat jy redigeer. Die plaaslike reeks op een gasheer is die afgeleë reeks op die ander, en 'n enkele omgeruilde paar verduidelik 'n tonnel wat niks dra nie. Vernou die paar voordat jy aan die sleutels raak: een subnet binne die tonnel en een buite sê vir jou of die keurder of die roetering skuld het.
Beslissing drie: net die gateway se eie verkeer faal
Verkeer wat vir kliënte aangestuur word, kan perfek werk terwyl 'n versoek wat die gateway self begin, faal, want daardie vloei het geen kliëntbron om te erf nie. Die voorkeurbron-instelling bestaan vir hierdie geval, en dit is nie bronvertaling nie: dit kies 'n bronadres eerder as om een te herskryf.
'n Toepassing wat eksplisiet 'n ander adres bind, kan die voorkeur oorheers, so bevestig die pakkie se werklike bron voordat jy aflei dat die instelling geïgnoreer word. Neem op op die gateway se eie koppelvlak eerder as om die konfigurasie se bedoeling te vertrou.
Volgende hop is 'n plaaslike instruksie
Die onderlaag-volgende-hop vertel hierdie gasheer hoe om die eweknie te bereik, en die ander kant het nie dieselfde waarde nodig nie. Om dit as 'n gedeelde instelling te behandel, of om 'n verstek-gateway hard te kodeer, breek die oomblik wanneer die roete verander of 'n tweede pad verskyn.
Sommige implementerings bied spesiale waardes hier. Wat die handleiding vir die geïnstalleerde weergawe lys, is die enigste veilige antwoord, en die plaaslike roetetabel is die bewys dat dit gewerk het. Wanneer 'n eweknie by naam bereikbaar is maar nie by adres nie, is daardie wanpassing die bevinding, nie 'n detail om te omseil nie.
Lees die profiel van beide kante
Om die rolle op papier om te keer is die vinnigste hersiening wat daar is: ruil die beskermde reekse om, hou elke kant se eie volgende hop, en hou elke kant se eie identiteit. Enigiets wat nie die omruiling oorleef nie, is waarskynlik aan die verkeerde taak toegewys.
Toets dan een vloei per rol: eweknie-tot-eweknie-bereikbaarheid, 'n binneste kliëntvloei en 'n versoek wat by die gateway ontstaan. Drie toetse sê vir jou watter taak verkeerd toegewys is sonder om die konfigurasie weer oop te maak. Voeg die resultaat by die kaartjie langs die veld wat jy verander het, want die volgende ingenieur sal dieselfde profiel teëkom.