Wanneer IKEv2 TS_UNACCEPTABLE teruggee, vergelyk die werklike subnette

Lees TS_UNACCEPTABLE as ’n meningsverskil oor dekking, nie as ’n beskadigde profiel nie. Die poort sê dat die twee eweknieë nie kon ooreenk oor watter adresse hierdie tonnel mag dra nie. Die IKE SA kan op daardie oomblik al op wees, daarom kan ’n kliënt verbind lyk met geen kind-SA agter hom nie. Sobald jy dit so raam, word die werk meganies. Skryf albei kante se beoogde prefikse neer, vergelyk hulle in een rigting, en vernou tot hulle mekaar sny.

Skryf eers die beoogde pare neer

Voordat jy aan die opstelling raak, lys vier waardes: die insisieerder se bronreeks, sy bestemmingsreeks, en dieselfde paar gesien van die responder. Teken ook die adresfamilie van elkeen aan. ’n IPv4-reeks en ’n IPv6-reeks is verskillende kiesertipes, en nie een kan in die ander se loonvrag ingevou word nie.

Voeg enige protokol- of poortbeperking by wat die beleid dra. ’n Reël wat net TCP 445 na ’n lêerbediener toelaat, beskryf ’n smaller versameling as die subnet waarin dit sit. Los dit uit jou notas en die onderhandelingsuitslag sal onsamehangend lyk om redes wat jy nie kan sien nie.

Keer die etikette om voor jy hulle vergelyk

Plaaslik en afgeleë is relatiewe etikette. Die kliënt se plaaslike prefiks is die poort se afgeleë reeks, en die poort se plaaslike reeks is die kliënt se afgeleë een. Skermkiekies van die twee kante pas daarom nooit op mekaar nie, en om hulle letterlik te vergelyk is die standaardmanier om ’n middag te verloor.

’n Responder kan ’n aanbod vernou tot ’n aanvaarbare deelversameling eerder as om dit te verwerp. Daardie uitkoms is slegter as ’n skoon mislukking, want dit werk half. Vra vir 10.0.0.0/16 terwyl die beleid 10.0.5.0/24 toelaat, en jy kan eindig met ’n kind-SA wat net daardie /24 dek. Een gasheer antwoord, alles anders val buite, en niks in die kliënt sê dit nie. Lees die aanvaarde kiesers eerder as die versoekte een voor jy aflei dat die onderhandeling geslaag het.

Road-warrior-profiele wat ’n verstekroete versoek, land voortdurend hier. ’n Poort wat vir verdeelde toegang gebou is, vernou ’n volreeks-aanbod tot sy eie subnette, en die kliënt moet die vernoude resultaat aanvaar of duidelik misluk.

Lees die verwerping uit een poging

Versamel albei logboeke uit dieselfde verbindingspoging. ’n Gestoor profiel wys wat jy opgestel het, nie wat voorgestel is nie, en op strongSwan druk swanctl --log die ontvangte kennisgewing saam met die kiesers wat dit gedra het.

Ondersoek dan wat werklik geïnstalleer is. swanctl --list-sas wys die kind-SA se kiesers, en ip xfrm policy wys dieselfde reekse as kernbeleid-inskrywings. ’n Kind-SA in daardie lys met kiesers wat jy nie bedoel het nie, is ’n vernouingsgebeurtenis; geen kind-SA plus TS_UNACCEPTABLE in die logboek is ’n weiering.

Skei die nabye buurte op terwyl jy daar is. INVALID_SELECTORS kla oor ’n kieser binne ’n gevestigde kind-SA, terwyl INTERNAL_ADDRESS_FAILURE beteken die responder kon nie ’n virtuele adres toe ken nie, wat ’n poelprobleem is eerder as ’n dekkingsprobleem.

Kontroleer wat die versameling stilweg verklein

Drie dinge verklein ’n kieserversameling sonder om iets te sê. Responder-beleid is die eerste, deur subnetlyste, groepreëls of per-gebruiker-magtiging wat die aanbod tot ’n deelversameling verminder. Adresfamilie is die tweede: ’n dubbelstapel-kliënt stel dikwels IPv6 saam met IPv4 voor en kry ’n verwerping vir reekse wat die poort nooit opgestel het nie.

Protokol- en poortbeperkings is die derde. Waar die beleid net TCP 445 toelaat, kan ’n kind-SA opkom terwyl ICMP en UDP buite dit bly, en die gebruiker meld ’n gebroke tonnel terwyl een protokol alles was wat ooit toegelaat is.

Net adresse verbred kan dus nie ’n poortbeperkte beleid regstel nie, en dit is juis die geval wat drie rondtes probleemoplossing heel waarskynlik onveranderd oorleef.

Bewys dekking met verkeer wat pas

Nadat die kind-SA geïnstalleer is, stuur een versoek wat beslis binne die aanvaarde reekse val. Kyk na die tellers eerder as die statusikoon: ip -s xfrm state en die tellers agter ip xfrm policy verhoog wanneer ’n pakket ooreengebring en beskerm word. ’n Greptelling wat op nul bly ná werklike verkeer beteken die kern het nooit daardie beleid gekies nie.

Daardie nul is ’n roeterings- of beleidsvolgorde-probleem, nie ’n kriptoprobleem nie. Dit lyk ook identies aan ’n kieser-verwerping uit die gebruiker se stoel, daarom is die tellers werd om te versamel voordat jy die profiel weer oopmaak. Tellers wat net in een rigting klim, wys eerder na die terugpad.

Sluit af deur die aanvaarde paar in die kaartjie te skryf, langs die reeks wat oorspronklik versoek is. Hou die keuse so smal soos die vereiste, want om die fout te verwyder deur ’n private reeks met elke adres te vervang, verleen baie meer toegang as waarvoor die rekening goedgekeur is.