Калі IKEv2 вяртае TS_UNACCEPTABLE, параўнайце рэальныя падсеткі

Чытайце TS_UNACCEPTABLE як нязгоду ў пакрыцці, а не як пашкоджаны профіль. Шлюз кажа, што два бакі не змаглі дамовіцца, якія адрасы можа перавозіць гэты тунэль. IKE SA можа ўжо быць узнятым у гэты момант, таму кліент можа выглядаць падключаным без даччынай SA за ім. Калі сфармуляваць гэта так, праца становіцца механічнай. Запішыце меркаваныя прэфіксы абодвух бакоў, параўнайце іх у адным кірунку і звужайце, пакуль яны не перасякуцца.

Спачатку запішыце меркаваныя пары

Перш чым кранаць канфігурацыю, пералічыце чатыры значэнні: дыяпазон крыніцы ініцыятара, яго дыяпазон прызначэння і тую ж пару з боку адказніка. Запішыце таксама сямейства адрасоў кожнага. Дыяпазон IPv4 і дыяпазон IPv6 — гэта розныя тыпы селектараў, і ні адзін нельга згарнуць у карысную нагрузку іншага.

Дадайце любое абмежаванне пратакола ці порта, якое нясе палітыка. Правіла, якое дазваляе толькі TCP 445 да файлавага сервера, апісвае вузейшы набор, чым падсетка, у якой яно знаходзіцца. Калі пакінуць гэта па-за нататкамі, вынік перамоў будзе выглядаць супярэчлівым з прычын, якіх вы не бачыце.

Перакуліце пазначэнні перад параўнаннем

Лакальны і аддалены — адносныя пазначэнні. Лакальны прэфікс кліента — гэта аддалены дыяпазон шлюза, а лакальны дыяпазон шлюза — гэта аддалены дыяпазон кліента. Таму здымкі экрана з двух бакоў ніколі не супадаюць, і параўноўваць іх літаральна — стандартны спосаб страціць паўдня.

Адказнік можа звузіць прапанову да прымальнага падмноства замест таго, каб адхіліць яе. Гэты вынік горш за чыстую няўдачу, бо ён працуе напалову. Запытайце 10.0.0.0/16, калі палітыка дазваляе 10.0.5.0/24, і вы можаце атрымаць даччыную SA, якая пакрывае толькі гэтую /24. Адказвае адзін хост, усё астатняе аказваецца па-за, і нішто ў кліенце пра гэта не кажа. Чытайце прынятыя селектары, а не запытаныя, перш чым рабіць выснову, што перамовы ўдаліся.

Профілі road warrior, якія запытваюць маршрут па змаўчанні, трапляюць сюды пастаянна. Шлюз, пабудаваны для раздзеленага доступу, звужайвае прапанову поўнага дыяпазону да сваіх падсетак, і кліент павінен прыняць звужаны вынік або гучна праваліцца.

Чытайце адмову з адной спробы

Сабярыце абодва журналы з адной спробы злучэння. Захаваны профіль паказвае, што вы наладзілі, а не што было прапанавана, і на strongSwan swanctl --log друкуе атрыманае апавяшчэнне разам з селектарамі, якія яно нясло.

Затым праверце, што насамрэч усталявалася. swanctl --list-sas паказвае селектары даччынай SA, а ip xfrm policy паказвае тыя ж дыяпазоны як запісы палітыкі ядра. Даччыная SA ў гэтым спісе з селектарамі, якіх вы не планавалі, — гэта падзея звужэння; адсутнасць даччынай SA плюс TS_UNACCEPTABLE у журнале — гэта адмова.

Пакуль вы там, аддзяліце блізкіх суседзяў. INVALID_SELECTORS скардзіцца на селектар унутры ўсталяванай даччынай SA, а INTERNAL_ADDRESS_FAILURE азначае, што адказнік не змог выдзеліць віртуальны адрас, што з’яўляецца праблемай пула, а не пакрыцця.

Праверце, што моўчкі памяншае набор

Тры рэчы памяншаюць набор селектараў, нічога не кажучы. Першая — палітыка адказніка: спісы падсетак, групавыя правілы або аўтарызацыя па карыстальніках, якія зводзяць прапанову да падмноства. Другая — сямейства адрасоў: кліент з двума стэкамі часта прапануе IPv6 побач з IPv4 і атрымлівае адмову для дыяпазонаў, якія шлюз ніколі не наладжваў.

Трэцяе — абмежаванні пратакола і порта. Калі палітыка дазваляе толькі TCP 445, даччыная SA можа ўзняцца, тады як ICMP і UDP застаюцца па-за ёй, і карыстальнік паведамляе пра зламаны тунэль, калі быў дазволены ўсяго адзін пратакол.

Таму пашырэнне адрасоў само па сабе не выправіць палітыку з абмежаваннем порта, а гэта менавіта той выпадак, які хутчэй за ўсё перажыве тры кругі дыягностыкі без зменаў.

Дакажыце пакрыццё трафікам, які падыходзіць

Пасля ўсталявання даччынай SA адпраўце адзін запыт, які пэўна трапляе ўнутры прынятых дыяпазонаў. Сачыце за лічыльнікамі, а не за значком стану: ip -s xfrm state і лічыльнікі за ip xfrm policy павялічваюцца, калі пакет супастаўлены і абаронены. Байтавы лік, які застаецца нулём пасля рэальнага трафіку, азначае, што ядро ніколі не выбрала гэтую палітыку.

Гэты нуль — праблема маршрутызацыі або парадку палітык, а не крыпта. Ён таксама выглядае ідэнтычна адмове селектара з пункту гледжання карыстальніка, таму лічыльнікі варта збіраць, перш чым адкрываць профіль нанова. Лічыльнікі, што растуць толькі ў адным кірунку, паказваюць замест гэтага на зваротны шлях.

Завяршыце тым, што запішаце прынятую пару ў білет, побач з дыяпазонам, які першапачаткова запытвалі. Трымайце выбар такім вузкім, як патрабаванне, бо выдаленне памылкі шляхам замены прыватнага дыяпазону ўсімі адрасамі дае значна больш доступу, чым было ўхвалена для ўліковага запісу.