Уваходны IPsec-партнёр не адпавядае ніводнаму профілю? Праверце чатыры полі

Ваш партнёр паведамляе, што тунель узняты, ваш бок не паказвае ніводнай асацыяцыі бяспекі, а файл канфігурацыі відавочна ўтрымлівае адпаведную назву злучэння. Усе тры сцвярджэнні могуць быць праўдай адначасова. Уваходныя перамовы супастаўляюцца з працуючай канфігурацыяй па адрасе партнёра, ідэнтычнасці, якую ён падае, і трафіку, які ён прапануе. Файл на дыску, які ніколі не загружаўся, ідэнтычнасць, якая не супадае з чаканым значэннем, або пара селектараў з розніцай у адзін прэфікс — кожнае з гэтага дае цішыню. Прайдзіце чатыры групы палёў у тым парадку, у якім ідзе адказнік.

Пачніце з пакета, а не з файла

Адказнік атрымлівае запыт IKE, шукае азначэнне, якое можа прыняць гэтага партнёра, а затым пераходзіць да аўтэнтыфікацыі і выбару трафіку. Калі на першым кроку ніводнае загружанае азначэнне не супадае, перамовы сканчаюцца раней, чым хоць якая карысная памылка дасягне карыстальніка.

Таму “канфігурацыя выглядае правільна” не з'яўляецца доказам. Пытанне ў тым, што загрузіла працуючая служба і які запіс яна выбрала для гэтай спробы. Спіс стану адказвае на гэта адной камандай, а буфер рэдактара адказвае на іншае пытанне. Праверце спіс, перш чым зноў змяняць файл.

Група палёў першая: азначэнне, якое сапраўды загружана

Праверце працуючы стан інструментам, які валодае дэманам: каманда стану са спісам загружаных злучэнняў, а не буфер рэдактара. Пераканайцеся, што чаканы запіс прысутнічае, уключаны для патрэбнай вам паводзіны запуску і быў загружаны пасля вашай апошняй праўкі. Захаваны файл, які не быў перазагружаны, — самая частая прычына фразы “я выправіў, а нічога не змянілася”.

Таксама пераканайцеся, які файл чытае служба. Дыстрыбутывы адрозніваюцца, і злучэнне, запісанае ў няправільны ўключаны файл, моўчкі ігнаруецца, а не адхіляецца. Калі спіс стану зусім не паказвае ваш запіс, падазравайце шлях уключэння раней, чым сінтаксіс.

Група палёў другая: канчатковыя пункты — гэта не ідэнтычнасці

Адрас, з якога партнёр падключаецца, і ідэнтычнасць, якой ён аўтэнтыфікуецца, — гэта асобныя палі. Імя хоста, адрознівальнае імя, ідэнтыфікатар ключа і адрас могуць служыць ідэнтычнасцю IKE у залежнасці ад канфігурацыі, і яны зусім не абавязаны выглядаць як публічны адрас.

Супастаўленне канчатковых пунктаў можа ўключаць і прадстаўленне NAT: адрас, бачны ў сетцы, можа адрознівацца ад адраса, які партнёр лічыць сваім. У мадэлі злучэнняў libreswan left і right — гэта пазнакі двух удзельнікаў, а не фіксаваны парадак лакальнага і аддаленага, таму капіраванне працуючай канфігурацыі з іншага сайта з заменай адрасоў не з'яўляецца надзейным перакладам.

Запішыце чаканую ідэнтычнасць абодвух бакоў і пасведчанне, якое яе правярае. Калі гэтыя два радкі не супадаюць, ніякая колькасць праўкі адрасоў не дасць супадзення.

Група палёў трэцяя: трафік, які абараняецца

Селектары апісваюць унутраныя дыяпазоны крыніцы і прызначэння, іх сямейства адрасоў і любое абмежаванне пратаколу ці порта. Прапанова для адраса аднаго хоста — гэта не той жа запыт, што для цэлай падсеткі, і адказнік, наладжаны на падсетку, можа адхіліць яе або звузіць.

Калі два бакі не супадаюць, параўнайце меркаваны паток з абодвух пунктаў гледжання, а не пашырайце кожны селектар, каб нешта злучылася. Спытайце кожнага адміністратара пра паток, які ён, на яго думку, абараняе, затым параўнайце два адказы. Разыходжанне звычайна — прэфікс хоста з аднаго боку і падсетка з другога. Тунель, які супадае таму, што цяпер абараняе ўсё, — гэта іншае рашэнне па бяспецы, і ніхто яго не ўхваляў.

Група палёў чацвёртая: вы чытаеце адну рэалізацыю

Libreswan, стары Openswan і strongSwan маюць розныя інструменты кіравання, розны сінтаксіс канфігурацыі і розны парадак супастаўлення. Працуючы прыклад аднаго нічога дакладна не кажа пра прыярытэт выбару профілю або фармулёўкі памылак іншага, таму правярайце па дакументацыі да дэмана на гэтым хосце.

Суаднясіце адну спробу цалкам: адрас крыніцы ініцыятара, прапанаваная ідэнтычнасць і прапанаваныя селектары — з паведамленнем выбару адказніка і названым ім загружаным запісам. Нулявыя лічыльнікі інкапсуляцыі і дэкапсуляцыі кажуць толькі пра тое, што назіраныя асацыяцыі не неслі гэтыя пакеты; яны не называюць канчатковы пункт, які адхіліў прапанову, і не даказваюць, што адпаведны запіс існаваў у той момант.

Пасля ўзгодненай выпраўкі пацвердзіце выбраны профіль і асацыяцыю, затым праверце фактычна дазволеную службу і шлях яе адказу. Супадзенне профілю дазваляе перамовы, а перамовы — не апошняя праверка доступу.