Daxil olan IPsec həmkarı heç bir profilə uyğun gəlmir? Dörd sahəni yoxlayın

Həmkarınız tunelin qalxdığını bildirir, sizin tərəfiniz heç bir təhlükəsizlik assosiasiyası göstərmir, konfiqurasiya faylında isə açıq şəkildə uyğun bağlantı adı var. Bu üç ifadə eyni vaxtda doğru ola bilər. Daxil olan danışıq işləyən konfiqurasiyaya qarşı, həmkarın ünvanı, təqdim etdiyi şəxsiyyət və təklif etdiyi trafik əsasında uyğunlaşdırılır. Heç vaxt yüklənməmiş disk faylı, gözlənilən dəyərə uyğun gəlməyən şəxsiyyət və ya bir prefiks fərqi olan seçici cütü hər biri sükut yaradır. Dörd sahə qrupunu cavabdehin izlədiyi sıra ilə keçin.

Fayldan deyil, paketdən başlayın

Cavabdeh IKE sorğusunu alır, bu həmkarı qəbul edə bilən tərif axtarır və sonra autentifikasiya ilə trafik seçiminə keçir. Birinci addımda yüklənmiş tərif uyğun gəlməzsə, danışıq istifadəçiyə heç bir faydalı xəta çatmadan bitir.

Buna görə də “konfiqurasiya düzgün görünür” sübut deyil. Sual budur: işləyən xidmət nəyi yükləyib və bu cəhd üçün hansı qeydi seçib. Status siyahısı buna bir əmrlə cavab verir, redaktor buferi isə başqa suala cavab verir. Faylı yenidən dəyişməzdən əvvəl siyahını yoxlayın.

Birinci sahə qrupu: həqiqətən yüklənmiş tərif

İşləyən vəziyyəti daemon-a sahib alətlə yoxlayın: yüklənmiş bağlantıları sadalayan status əmri, redaktor buferi deyil. Gözlədiyiniz qeydin mövcud olduğunu, nəzərdə tutduğunuz başlanğıc davranışı üçün aktiv olduğunu və son redaktənizdən sonra yükləndiyini təsdiqləyin. Yenidən yüklənməmiş saxlanmış fayl “düzəltdim və heç nə dəyişmədi” ifadəsinin ən çox rast gəlinən səbəbidir.

Xidmətin hansı faylı oxuduğunu da təsdiqləyin. Paylanmalar fərqlənir və səhv daxiletməyə yazılmış bağlantı rədd edilmək əvəzinə səssizcə nəzərə alınmır. Status siyahısı qeydinizi ümumiyyətlə göstərmirsə, sintaksisdən əvvəl daxiletmə yolundan şübhələnin.

İkinci sahə qrupu: son nöqtələr şəxsiyyət deyil

Həmkarın qoşulduğu ünvan və autentifikasiya etdiyi şəxsiyyət ayrı sahələrdir. Host adı, fərqləndirici ad, açar ID-si və ünvan konfiqurasiyadan asılı olaraq IKE şəxsiyyəti ola bilər və onların ümumi ünvana bənzəməsi heç də vacib deyil.

Son nöqtə uyğunlaşdırması NAT görünüşünü də əhatə edə bilər: şəbəkədə görünən ünvan həmkarın sahib olduğunu düşündüyü ünvandan fərqlənə bilər. libreswan bağlantı modelində left və right iki iştirakçının etiketləridir, sabit yerli və uzaq sırası deyil, buna görə də başqa sahədən işləyən konfiqurasiyanı köçürüb ünvanları dəyişmək etibarlı tərcümə deyil.

Hər iki tərəfin gözlənilən şəxsiyyətini və onu təsdiqləyən etimad məlumatını yazın. Bu iki sətir uyğun gəlmirsə, heç bir ünvan düzəlişi uyğunluq yaratmaz.

Üçüncü sahə qrupu: qorunan trafik

Seçicilər daxili mənbə və təyinat diapazonlarını, onların ünvan ailəsini və istənilən protokol və ya port məhdudiyyətini təsvir edir. Bir host ünvanı üçün təklif bütöv alt şəbəkə üçün eyni sorğu deyil və alt şəbəkə üçün qurulmuş cavabdeh onu rədd edə və ya daralda bilər.

İki tərəf uyğun gəlmədikdə, hər seçicini genişləndirmək əvəzinə nəzərdə tutulan axını iki baxış bucağından müqayisə edin. Hər administratora qoruduğunu düşündüyü axını soruşun, sonra iki cavabı müqayisə edin. Uyğunsuzluq adətən bir tərəfdə host prefiksi, digərində alt şəbəkədir. İndi hər şeyi qoruduğu üçün uyğun gələn tunel başqa təhlükəsizlik qərarıdır və heç kimin təsdiqləmədiyi qərardır.

Dördüncü sahə qrupu: siz bir tətbiqi oxuyursunuz

Libreswan, köhnə Openswan və strongSwan fərqli idarəetmə alətlərinə, fərqli konfiqurasiya sintaksisinə və fərqli uyğunlaşdırma sırasına malikdir. Birinin işləyən nümunəsi digərinin profil seçimi prioriteti və ya xəta ifadəsi barədə dəqiq heç nə demir, ona görə də bu hostdakı daemon-un sənədləri ilə yoxlayın.

Bir cəhdi başdan sona əlaqələndirin: təşəbbüskarın mənbə ünvanı, təqdim etdiyi şəxsiyyət və təklif etdiyi seçicilər — cavabdehin seçim mesajı və onun adını çəkdiyi yüklənmiş qeydlə. Sıfır inkapsulyasiya və dekapsulyasiya sayğacları yalnız müşahidə olunan assosiasiyaların o paketləri daşımadığını deyir; onlar təklifi rədd edən son nöqtəni adlandırmır və həmin anda uyğun qeydin mövcud olduğunu sübut etmir.

Əlaqələndirilmiş düzəlişdən sonra seçilmiş profili və assosiasiyanı təsdiqləyin, sonra faktiki icazə verilən xidməti və onun cavab yolunu sınayın. Profil uyğunluğu danışığa imkan verir, danışıq isə son giriş yoxlaması deyil.