نظير IPsec الوارد لا يطابق أي ملف تعريف؟ تحقق من أربعة حقول

يُبلّغ نظيرك بأن النفق قائم، ويُظهر جانبك عدم وجود ارتباط أمني، ويحتوي ملف التهيئة بوضوح على اسم اتصال مطابق. هذه العبارات الثلاث يمكن أن تكون صحيحة جميعًا. تُطابَق المفاوضة الواردة مع التهيئة العاملة، باستخدام عنوان النظير والهوية التي يقدّمها والمرور الذي يقترحه. وملف على القرص لم يُحمَّل قط، أو هوية لا تطابق القيمة المتوقعة، أو زوج محددات يخطئ بادئة واحدة، كلها تُنتج صمتًا. اتبع مجموعات الحقول الأربع بالترتيب الذي يتبعه المستجيب.

ابدأ من الحزمة، لا من الملف

يستقبل المستجيب طلب IKE، ويبحث عن تعريف يمكنه قبول هذا النظير، ثم يتابع المصادقة واختيار المرور. وإذا لم يطابق أي تعريف محمّل في الخطوة الأولى، تنتهي المفاوضة قبل أن يصل أي خطأ مفيد إلى المستخدم.

لهذا فإن «التهيئة تبدو صحيحة» ليست دليلًا. السؤال هو ما حمّلته الخدمة العاملة وأي مدخل اختارته لهذه المحاولة. وقائمة الحالة تجيب عن ذلك بأمر واحد، بينما يجيب مخزن المحرر عن سؤال آخر. تحقق من القائمة قبل أن تغيّر الملف مرة أخرى.

المجموعة الأولى: التعريف المحمّل فعليًا

تحقق من الحالة العاملة بالأداة التي تملك الخدمة الخلفية: أمر حالة يسرد الاتصالات المحمّلة، لا مخزن المحرر. تأكد من وجود المدخل الذي تتوقعه، ومن أنه ممكّن لسلوك بدء التشغيل الذي تقصده، ومن أنه حُمّل بعد آخر تعديل أجريته. والملف المحفوظ الذي لم يُعَد تحميله هو السبب الأكثر شيوعًا لعبارة «أصلحته ولم يتغير شيء».

تأكد أيضًا من الملف الذي تقرأه الخدمة. فالتوزيعات تختلف، والاتصال المكتوب في تضمين خاطئ يُتجاهل بصمت بدلًا من أن يُرفض. وإذا لم تعرض قائمة الحالة مدخلك إطلاقًا، فاشتبه في مسار التضمين قبل أن تشتبه في الصياغة.

المجموعة الثانية: نقاط الطرف ليست هويات

العنوان الذي يتصل منه النظير والهوية التي يصادق بها حقلان منفصلان. ويمكن لاسم مضيف واسم مميّز ومعرّف مفتاح وعنوان أن تخدم جميعًا كهوية IKE حسب التهيئة، وليس مطلوبًا أن تشبه العنوان العام إطلاقًا.

قد تتضمن مطابقة نقاط الطرف منظور NAT: فالعنوان المرئي على الشبكة قد يختلف عن العنوان الذي يظن النظير أنه يملكه. وفي نموذج الاتصال لدى libreswan، فإن left وright تسميتان للمشاركين لا ترتيبًا ثابتًا لمحلي وبعيد، ولهذا فإن نسخ تهيئة عاملة من موقع آخر وتبديل العنوانين ليس ترجمة موثوقة.

اكتب هوية كل طرف المتوقعة والبيانات الاعتمادية التي تتحقق منها. وإذا اختلف هذان السطران، فلن تنتج أي كمية من تعديل العناوين تطابقًا.

المجموعة الثالثة: المرور الذي يُحمى

تصف المحددات نطاقات المصدر والوجهة الداخلية، وعائلة عناوينها، وأي قيد على البروتوكول أو المنفذ. والاقتراح لعنوان مضيف واحد ليس الطلب نفسه لشبكة فرعية كاملة، وقد يرفضه مستجيب مهيأ للشبكة الفرعية أو يضيقه.

حين يختلف الطرفان، قارن التدفق المقصود من وجهتي النظر بدلًا من توسيع كل محدد ليتصل شيء ما. اسأل كل مسؤول عن التدفق الذي يعتقد أنه يحميه، ثم قارن الجوابين. والتباين عادة بادئة مضيف عند جهة وشبكة فرعية عند الأخرى. أما النفق الذي يطابق لأنه يحمي كل شيء الآن فهو قرار أمني مختلف، ولم يوافق عليه أحد.

المجموعة الرابعة: أنت تقرأ تنفيذًا واحدًا

تختلف أدوات الإدارة وصياغة التهيئة وترتيب المطابقة بين Libreswan وOpenswan القديم وstrongSwan. والمثال العامل من أحدها لا يقول شيئًا دقيقًا عن أولوية اختيار الملف التعريفي أو صياغة الأخطاء في آخر، لذا تحقق من وثائق الخدمة الخلفية على هذا المضيف.

اربط محاولة واحدة من طرف إلى طرف: عنوان مصدر المبادئ والهوية المعروضة والمحددات المقترحة، مقابل رسالة اختيار المستجيب والمدخل المحمّل الذي يسميه. وعدّادات التغليف وفك التغليف الصفرية تقول فقط إن الارتباطات المرصودة لم تحمل تلك الحزم؛ وهي لا تسمّي نقطة الطرف التي رفضت الاقتراح ولا تثبت وجود مدخل مطابق في تلك اللحظة.

بعد تصحيح منسّق، تحقق من الملف التعريفي والارتباط المختارين، ثم جرّب الخدمة المسموح بها فعليًا ومسار ردها. فمطابقة الملف التعريفي تتيح المفاوضة، والمفاوضة ليست آخر فحص للوصول.