IPsec profilində beş ünvan rolu və hansının səhv olduğu
Son nöqtə, kimlik, qorunan alt şəbəkə, şlüz mənbəyi və növbəti atlama hər biri başqa suala cavab verir. Əvvəlcə simptomu sahə ilə uyğunlaşdırın.
Tipik bir bağlantı tərifində beş fərqli iş ünvan alır və onlar bir-biri ilə uzlaşmalı deyil. Administratorlar ilişib qalır, çünki ağlabatan bir instinkt, yəni bütün sahələri eyni hosta yönəltmək, onların ən azı üçü üçün səhvdir. Çıxış yolu əvvəlcə simptomu adlandırmaq, sonra onu yarada biləcək bir-iki sahəyə baxmaqdır.
Beş iş, əhəmiyyət sırası ilə
Nəqliyyat son nöqtəsi IKE mübadiləsinin çatdırıldığı yerdir. Doğrulanmış kimlik hər tərəfin sübut etdiyi addır, və o, marşrut cədvəlinə deyil, siyasətə uyğun yoxlanılır. Qorunan alt şəbəkələr tunelə hansı daxili trafikin aid olduğunu müəyyən edən seçicilərdir. Sonra şlüzün özü söhbət başlatdıqda istifadə olunan mənbə, və nəhayət həmyaşıdına çatmaq üçün alt qatın növbəti atlaması gəlir.
left və right kimi iştirakçı etiketləri bağlantının iki tərəfi üçün konvensiyalardır, yerli və uzaq üçün sinonim deyil. Bir açarın başqa məhsulun ona verdiyi mənanı daşıdığını fərz etməzdən əvvəl faktiki quraşdırılmış tətbiqin təlimatını oxuyun.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Birinci qərar: heç nə qurulmur
Jurnallarda heç bir mübadilə görünməyəndə ilk şübhəli son nöqtədir: səhv ünvan, süzgəcdən keçirilmiş yol və ya demonun dinləmədiyi interfeys. Kimlik sahələrinə yalnız əl sıxma göründükdən sonra keçin, çünki kimlik mübadilənin içində qiymətləndirilir, ondan əvvəl deyil. Süzgəcdən keçirilmiş yol və səhv ünvan müştəri tərəfindən eyni görünür, ona görə hər şeyi redaktə etməzdən əvvəl dinləmə tərəfini yoxlayın. Demonun gözlədiyiniz interfeysə bağlandığını təsdiqləyin, çünki bir ünvanda dinləyən xidmət bloklanmış yol kimi tam eyni görünür.
Tərcümə vasitəsilə müşahidə edilən ictimai ünvan həmyaşıdın sübut etdiyi kimliklə eyni şey deyil. Ünvanı paket tutmasının uzaq tərəfdə göstərdiyinə uyğunlaşdırmaq üçün dəyişmək geniş yayılmış və səhv düzəlişdir.
İkinci qərar: tunel qalxıb, trafik ölür
Seçicilər tunelə nəyin girəcəyini müəyyən edir və buradakı uyğunsuzluq uğurla danışıq aparan, amma tətbiqin yenə də uğursuz olduğu bir bağlantı yaradır. Uzaq tərəf sizin qorunan aralığınızı öz uzaq aralığı kimi adlandırmalıdır və tərsinə çevrilmiş dəyərlər məhz burada sızır.
Redaktə etməzdən əvvəl hər iki konfiqurasiyanı yan-yana oxuyun. Bir hostdakı yerli aralıq digərindəki uzaq aralıqdır və bir dənə dəyişdirilmiş cüt heç nə daşımayan tuneli izah edir. Açarlara toxunmadan əvvəl cütü daraldın: tunelin içində bir alt şəbəkə və çöldə biri sizə seçicinin, yoxsa marşrutlaşdırmanın günahkar olduğunu deyir.
Üçüncü qərar: yalnız şlüzün öz trafiki uğursuz olur
Müştərilər üçün yönləndirilən trafik mükəmməl işləyə bilər, halbuki şlüzün özünün başlatdığı sorğu uğursuz olur, çünki o axının miras alacağı müştəri mənbəyi yoxdur. Üstünlük verilən mənbə ayarı bu hal üçün mövcuddur və bu mənbə tərcüməsi deyil: bir mənbə ünvanını yenidən yazmaq əvəzinə seçir.
Başqa ünvanı açıq şəkildə bağlayan tətbiq üstünlüyü üstələyə bilər, ona görə ayarın göz ardı edildiyi qənaətinə gəlməzdən əvvəl paketin faktiki mənbəyini təsdiqləyin. Konfiqurasiyanın niyyətinə güvənmək əvəzinə şlüzün öz interfeysində tutun.
Növbəti atlama yerli göstərişdir
Alt qatın növbəti atlaması bu hosta həmyaşıdına necə çatacağını deyir və uzaq tərəfin eyni dəyərə ehtiyacı yoxdur. Ona ortaq ayar kimi baxmaq və ya defolt şlüzü sərt kodlaşdırmaq marşrut dəyişdiyi və ya ikinci yol göründüyü anda pozulur.
Bəzi tətbiqlər burada xüsusi dəyərlər təklif edir. Quraşdırılmış versiya üçün təlimatın sadaladığı hər şey yeganə təhlükəsiz cavabdır və yerli marşrut cədvəli işlədiyinin sübutudur. Həmyaşıdına adla çatmaq mümkün, ünvanla mümkün deyilsə, bu uyğunsuzluq tapıntıdır, yan keçiləcək xırda detal deyil.
Profili hər iki tərəfdən oxuyun
Rolları kağız üzərində tərsinə çevirmək mövcud olan ən sürətli baxışdır: qorunan aralıqları dəyişdirin, hər tərəfin öz növbəti atlamasını və öz kimliyini saxlayın. Dəyişmədən sonra qalmayan hər şey, çox güman ki, səhv işə təyin edilib.
Sonra hər rol üçün bir axın sınayın: həmyaşıdlar arası çatımlılıq, daxili müştəri axını və şlüzdən qaynaqlanan sorğu. Üç test konfiqurasiyanı yenidən açmadan hansı işin səhv təyin edildiyini deyir. Nəticəni dəyişdirdiyiniz sahənin yanında bilete əlavə edin, çünki növbəti mühəndis eyni profillə qarşılaşacaq.