IKE-də MAC uyğunsuzluğu ortaq açarın yoxlanışının uğursuz olduğunu bildirir

Cloud VPN jurnalınız ortaq açar cəhdindən sonra MAC mismatched göstərir və ilk instinkt çox vaxt ünvan probleminin axtarışı olur. Bu budaqda MAC mesaj autentifikasiyası kodudur: razılaşdırılmış açarla mübadilə üzərində hesablanan dəyər. Qarşı tərəf öz hesablamasını aldığı dəyərlə müqayisə etdi və onlar fərqləndi. Burada şəbəkə kartı iştirak etmir və heç bir interfeys parametri bu müqayisəni dəyişmir.

Praktikada bunu iki şərt yaradır: iki tərəfdəki sirrlər eyni dəyər deyil, ya da sirri seçmək üçün istifadə olunan identikliklər uyğun gəlmir. Hansının olduğunu cütü oxumaqla müəyyən edin, tək tuneli yox.

Mərhələ nəyi sübut edir

Yoxlama hər iki tərəf ilkin parametrləri mübadilə edib özünü tanıtdıqdan sonra işləyir. O, yerli və uzaq identikliklər üçün namizəd ortaq açarları seçir və alınan autentifikasiya məlumatlarını doğrulamağa çalışır; heç biri doğrulanmadıqda diaqnostika verilir. Bu, autentifikasiya barədə güclü, səbəb barədə zəif bir ifadədir, çünki hansı tərəfin səhv olduğunu demir.

Əvvəlki uğur bu yoxlamaya keçmir. Tamamlanmış IKE_SA_INIT və ya gözlənilən dəyərləri qaytaran NAT aşkarlama yükü tərəflərin danışa bildiyini sübut edir. Sirr paylaşdıqlarına dair heç nə sübut etmir.

İki konfiqurasiya xətası, bir mesaj

Birincisi real sirr uyğunsuzluğudur və adətən təchizat qəzasıdır: bir konsolda quraşdırılıb digərində yenidən yazılan yaradılmış dəyər, bir tərəfdə qalan əlavə simvol və ya yapışdırma ilə gələn dırnaq işarəsi. İkincisi identiklik uyğunsuzluğudur: sirr düzgündür, lakin qarşı tərəfin təqdim etdiyi identiklik başqa girişi seçir, ona görə düzgün sirr heç vaxt sınanmır. İkisi də eyni sətri yaradır, buna görə təxmin etmək bir günorta vaxt aparır.

Hər hansı sirrə toxunmadan əvvəl cütü müqayisə edin. Tuneli, qarşı tərəfin son nöqtəsini, vaxt pəncərəsini və uzaq konfiqurasiyanı uyğunlaşdırın, çünki iki ehtiyat tunel fərqli sirrlər saxlaya bilər və qarşınızdakı ekran uğursuz olan olmaya bilər.

NAT aşkarlaması başqa mərhələdir

NAT aşkarlaması paketlərin necə yenidən yazıldığını soruşur, qarşı tərəfin kim olduğunu yox. NAT arxasındakı müştəri şlüzü, konfiqurasiya edilmiş identikliyi qarşı tərəfin gözlədiyi identiklik olduqda düzgün autentifikasiya edir və NAT problemi autentifikasiya müqayisəsinin uğursuzluğu kimi deyil, təklif və ya port uyğunsuzluğu kimi görünür.

Bir satıcı buraxılışı haqqında köhnə ifadəni cari yerləşdirməyə daşımayın. Buraxılışınızda NAT keçidinin nə tələb etdiyi öz sənədləşməsindədir və MAC mismatch ifadəsi bunun lehinə və ya əleyhinə sübut deyil.

Ekrandan deyil, cütdən qərar verin

Hər iki konfiqurasiyanı sirri gizlədərək yan-yana oxuyun, sonra üç sual verin. Hər tərəfdəki identiklik digərinin gözlədiyi ilə hərf-hərf üst-üstə düşürmü? Hər iki tərəf eyni IKE versiyasını və eyni autentifikasiya metodunu istifadə edirmi? Uğursuz tunel oxuduğunuz konfiqurasiyaya uyğun gəlirmi? Bunlardan hər hansı birinə «xeyr» sirrə toxunmadan təmiri müəyyən edir.

Əgər üçü də təmizdirsə, sirri ətrafında redaktə etmək əvəzinə təsdiqlənmiş iş axını ilə dəyişdirin.

Qarşı tərəf autentifikasiya etdikdən sonra

Autentifikasiya uğur qazandıqdan sonra növbəti nasazlıq səthi uşaq təhlükəsizlik assosiasiyasıdır: təkliflər və trafik seçiciləri. Artıq qəbul edilmiş sirri rotasiya etmək uşaq nasazlığını düzəldə bilməz və fasiləni uzadır. Uşaq vəziyyətini, sonra hər iki tərəfdəki seçiciləri və qorunan diapazonları oxuyun və Cloud VPN problemlərinin həlli təlimatını həqiqətən uğursuz olan mərhələyə uyğunlaşdırın.

Hər iki tərəfdən təzə jurnalları əlaqələndirin eyni cüt və eyni pəncərə üçün. Tək tərəf digər tərəfin girişi olmadan hökm verir və bu, mesajı yaradan qeyri-müəyyənliyin özüdür.

Nə nəticə çıxarmamalı

Mesajı MAC ünvanlarının dəyişdirilməsi tələbi kimi oxumayın və kömək istəyərkən ortaq sirri yayımlamayın; açarı ehtiva edən çıxarışdan açar çıxarılmalıdır, jurnal saxlanmamalıdır. Marşrutlaşdırma nasazlığını da ehtimal etməyin, çünki bir-birinə çata bilməyən tərəflər heç bir autentifikasiya müqayisəsi yaratmır. Və bir məhsul ailəsində sənədləşdirilmiş məhdudiyyəti hər IPsec tətbiqinə ümumiləşdirməyin.

Uğursuz cütü, tunelin əvvəl və sonrakı vəziyyətini və iki şərtdən hansını dəyişdiyinizi qeyd edin. Bu qeyd növbəti hadisəni beş dəqiqəlik yoxlamaya çevirir.