Пяць роляў адрасу ў профілі IPsec, і якая з іх няправільная
Канчатковы пункт, ідэнтычнасць, абароненая падсетка, крыніца шлюза і наступны крок адказваюць кожны на сваё пытанне. Спачатку супастаўце сімптом з полем.
Пяць розных задач атрымліваюць адрас у тыповым апісанні злучэння, і яны не абавязаныя супадаць адна з адной. Адміністратары затрымліваюцца, бо разумны інстынкт — накіраваць усе палі на адзін і той жа хост — няправільны прынамсі для трох з іх. Выхад у тым, каб спачатку назваць сімптом, а потым паглядзець на адно ці два палі, якія маглі яго выклікаць.
Пяць задач, у парадку іх значнасці
Канчатковы пункт транспарту — гэта месца, дзе дастаўляецца абмен IKE. Аўтэнтыфікаваная ідэнтычнасць — гэта імя, якое даказвае кожны бок, і яно правяраецца супраць палітыкі, а не супраць табліцы маршрутызацыі. Абароненыя падсеткі — гэта селектары, якія вырашаюць, які ўнутраны трафік належыць тунэлю. Затым ідзе крыніца, якая выкарыстоўваецца, калі сам шлюз пачынае размову, і нарэшце наступны крок ніжняга ўзроўню для дасягнення партнёра.
Меткі ўдзельнікаў, такія як left і right, — гэта ўмовы для двух бакоў злучэння, а не сінонімы «лакальнага» і «аддаленага». Прачытайце дапаможнік для той рэалізацыі, якая фактычна ўсталяваная, перш чым меркаваць, што ключ азначае тое, што меў на ўвазе іншы прадукт.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Рашэнне першае: нічога не ўстанаўліваецца
Калі ў журналах увогуле не з'яўляецца абмену, канчатковы пункт — першы падазроны: няправільны адрас, адфільтраваны шлях або інтэрфейс, на якім дэман не слухае. Пераходзьце да палёў ідэнтычнасці толькі пасля таго, як стане бачным рукапоціск, бо ідэнтычнасць ацэньваецца ўнутры абмену, а не да яго. Адфільтраваны шлях і няправільны адрас выглядаюць аднолькава з боку кліента, таму праверце бок слухання, перш чым нешта рэдагаваць. Пацвердзіце, што дэман прывязаны да чаканага інтэрфейсу, бо сэрвіс, які слухае на адным адрасе, выглядае гэтак жа, як заблакаваны шлях.
Публічны адрас, назіраны праз трансляцыю, — гэта не тое ж самае, што ідэнтычнасць, якую даказвае партнёр. Змяніць адрас, каб ён адпавядаў таму, што паказвае захоп пакетаў на далёкім баку, — гэта распаўсюджаная і няправільная папраўка.
Рашэнне другое: тунэль падняты, а трафік памірае
Селектары вырашаюць, што ўваходзіць у тунэль, і неадпаведнасць тут дае злучэнне, якое паспяхова ўзгадняецца, пакуль праграма ўсё яшчэ падае. Далёкі бок павінен назваць ваш абаронены дыяпазон сваім аддаленым дыяпазонам, і менавіта тут пракрадаюцца перакуленыя значэнні.
Прачытайце абедзве канфігурацыі побач, перш чым рэдагаваць. Лакальны дыяпазон на адным хосце — гэта аддалены дыяпазон на другім, і адна перастаўленая пара тлумачыць тунэль, які нічога не нясе. Звужайце пару, перш чым кранаць ключы: адна падсетка ўнутры тунэля і адна звонку кажа вам, селектар ці маршрутызацыя вінаватыя.
Рашэнне трэцяе: падае толькі ўласны трафік шлюза
Трафік, перанакіраваны для кліентаў, можа працаваць бездакорна, пакуль запыт, які шлюз пачынае сам, падае, бо гэты паток не мае кліенцкай крыніцы, якую можна ўнаследаваць. Налада пераважнай крыніцы існуе для гэтага выпадку, і гэта не трансляцыя крыніцы: яна выбірае адрас крыніцы, а не перапісвае яго.
Праграма, якая яўна прывязвае іншы адрас, можа перамагчы перавагу, таму пацвердзіце фактычную крыніцу пакета, перш чым рабіць выснову, што налада ігнаруецца. Захоплівайце на ўласным інтэрфейсе шлюза, а не давярайце намеру канфігурацыі.
Наступны крок — лакальная інструкцыя
Наступны крок ніжняга ўзроўню кажа гэтаму хосцу, як дасягнуць партнёра, і далёкаму боку не патрэбна тое ж значэнне. Стаўленне да яго як да агульнай налады або жорсткае кадаванне шлюза па змаўчанні ламаецца ў той момант, калі маршрут змяняецца або з'яўляецца другі шлях.
Некаторыя рэалізацыі прапануюць тут спецыяльныя значэнні. Тое, што дапаможнік пералічвае для ўсталяванай версіі, — адзіны бяспечны адказ, а лакальная табліца маршрутаў — доказ таго, што гэта спрацавала. Калі партнёр дасягальны па імені, але не па адрасе, гэтая неадпаведнасць і ёсць знаходка, а не дробязь, якую трэба абыйсці.
Чытайце профіль з абодвух бакоў
Перакуліць ролі на паперы — самы хуткі агляд, які ёсць: памяняйце абароненыя дыяпазоны, пакіньце кожнаму боку яго ўласны наступны крок і яго ўласную ідэнтычнасць. Усё, што не вытрымлівае замены, хутчэй за ўсё прызначана не той задачы.
Затым праверце адзін паток на ролю: дасягальнасць паміж партнёрамі, унутраны кліенцкі паток і запыт, які паходзіць ад шлюза. Тры тэсты кажуць, якая задача прызначана няправільна, без паўторнага адкрыцця канфігурацыі. Дадайце вынік у тыкет побач з полем, якое вы змянілі, бо наступны інжынер сустрэне той жа профіль.