IKEv2 TS_UNACCEPTABLE qaytaranda real alt şəbəkələri müqayisə edin

TS_UNACCEPTABLE cavabını profil korlanması kimi deyil, əhatə uyğunsuzluğu kimi oxuyun. Şlüz iki tərəfin bu tunelin hansı ünvanları daşıya biləcəyi barədə razılaşa bilmədiyini bildirir. IKE SA o anda artıq qurulmuş ola bilər, buna görə müştəri arxasında heç bir uşaq SA olmadan qoşulmuş görünə bilər. Məsələni belə çərçivəyə saldıqdan sonra iş mexaniki olur. Hər iki tərəfin nəzərdə tutduğu prefiksləri yazın, onları bir istiqamətdə müqayisə edin və kəsişənə qədər daraldın.

Əvvəlcə nəzərdə tutulan cütləri yazın

Konfiqurasiyaya toxunmadan əvvəl dörd dəyər siyahıya alın: başladan tərəfin mənbə diapazonu, onun təyinat diapazonu və cavab verən tərəfdən görünən həmin cüt. Hər birinin ünvan ailəsini də qeyd edin. IPv4 diapazonu ilə IPv6 diapazonu fərqli seçici növləridir və heç biri digərinin yükünə bükülə bilməz.

Siyasətin daşıdığı hər hansı protokol və ya port məhdudiyyətini əlavə edin. Yalnız TCP 445-ə fayl serverinə icazə verən qayda, içində yerləşdiyi alt şəbəkədən daha dar bir çoxluq təsvir edir. Bunu qeydlərinizdən kənarda qoysanız, danışıq nəticəsi görə bilmədiyiniz səbəblərə görə uyğunsuz görünəcək.

Müqayisə etməzdən əvvəl etiketləri tərsinə çevirin

Lokal və uzaq nisbi etiketlərdir. Müştərinin lokal prefiksi şlüzün uzaq diapazonudur, şlüzün lokal diapazonu isə müştərinin uzaq diapazonudur. Buna görə iki tərəfdən çəkilmiş ekran görüntüləri heç vaxt üst-üstə düşmür və onları hərfi müqayisə etmək günortanı itirməyin standart yoludur.

Cavab verən tərəf təklifi rədd etmək əvəzinə onu məqbul bir alt çoxluğa daralda bilər. Bu nəticə təmiz uğursuzluqdan pisdir, çünki yarımçıq işləyir. Siyasət 10.0.5.0/24-ə icazə verərkən 10.0.0.0/16 istəsəniz, yalnız həmin /24-ü əhatə edən uşaq SA ilə nəticələnə bilərsiniz. Bir host cavab verir, qalan hər şey kənarda qalır və müştəridə heç nə bunu demir. Danışığın uğurlu olduğu qənaətinə gəlməzdən əvvəl soruşulanları deyil, qəbul edilən seçiciləri oxuyun.

Defolt marşrut tələb edən road warrior profilləri burada daim bitir. Bölünmüş giriş üçün qurulmuş şlüz tam diapazonlu təklifi öz alt şəbəkələrinə daraldır və müştəri daraldılmış nəticəni qəbul etməli və ya açıq şəkildə uğursuz olmalıdır.

Rəddi bir cəhddən oxuyun

Hər iki jurnalı eyni qoşulma cəhdindən toplayın. Saxlanılmış profil nəyin təklif edildiyini deyil, nəyi konfiqurasiya etdiyinizi göstərir və strongSwan-da swanctl --log alınan bildirişi daşıdığı seçicilərlə birlikdə çap edir.

Sonra həqiqətən nəyin quraşdırıldığını yoxlayın. swanctl --list-sas uşaq SA-nın seçicilərini, ip xfrm policy isə həmin diapazonları kernel siyasəti qeydləri kimi göstərir. Həmin siyahıda nəzərdə tutmadığınız seçiciləri olan uşaq SA daralma hadisəsidir; jurnalda uşaq SA olmadan TS_UNACCEPTABLE isə imtinadır.

Orada olarkən yaxın qonşuları ayırın. INVALID_SELECTORS qurulmuş uşaq SA daxilindəki seçicidən şikayət edir, INTERNAL_ADDRESS_FAILURE isə cavab verən tərəfin virtual ünvan ayıra bilmədiyini bildirir, bu da əhatə problemi deyil, hovuz problemidir.

Çoxluğu səssizcə nəyin kiçildirdiyini yoxlayın

Üç şey seçici çoxluğunu heç nə demədən kiçildir. Birincisi cavab verən tərəfin siyasətidir: alt şəbəkə siyahıları, qrup qaydaları və ya təklifi alt çoxluğa endirən istifadəçi-üzrə avtorizasiya. İkincisi ünvan ailəsidir: iki yığınlı müştəri çox vaxt IPv4 ilə yanaşı IPv6 təklif edir və şlüzün heç vaxt konfiqurasiya etmədiyi diapazonlar üçün rədd alır.

Üçüncüsü protokol və port məhdudiyyətləridir. Siyasət yalnız TCP 445-ə icazə verdikdə uşaq SA qurula bilər, ICMP və UDP isə ondan kənarda qalır, istifadəçi isə yalnız bir protokola icazə verildiyi halda pozulmuş tunel barədə məlumat verir.

Yalnız ünvanları genişləndirməklə portla məhdudlaşdırılmış siyasəti düzəltmək mümkün deyil və bu, üç raund problem həllindən dəyişməz çıxma ehtimalı ən yüksək olan haldır.

Uyğun trafiklə əhatəni sübut edin

Uşaq SA quraşdırıldıqdan sonra qəbul edilən diapazonların mütləq içərisinə düşən bir sorğu göndərin. Status nişanına deyil, sayğaclara baxın: ip -s xfrm state və ip xfrm policy arxasındakı sayğaclar paket uyğunlaşdırılıb qorunduqda artır. Real trafikdən sonra sıfırda qalan bayt sayı kernelin həmin siyasəti heç vaxt seçmədiyini bildirir.

Bu sıfır kripto problemi deyil, marşrutlaşdırma və ya siyasət sırası problemidir. O, istifadəçinin yerindən baxanda seçici imtinası ilə eyni görünür, buna görə profili yenidən açmazdan əvvəl sayğacları toplamağa dəyər. Yalnız bir istiqamətdə artan sayğaclar əvəzində qayıdış yoluna işarə edir.

Qəbul edilən cütü biletə, ilkin olaraq tələb olunan diapazonun yanına yazaraq bitirin. Seçimi tələb qədər dar saxlayın, çünki şəxsi diapazonu bütün ünvanlarla əvəz edərək xətanı silmək hesabın təsdiq edildiyindən qat-qat çox giriş verir.