Неадпаведнасць MAC у IKE азначае, што праверка агульнага ключа не прайшла

Ваш журнал Cloud VPN паказвае спробу з агульным ключом, за якой ідзе MAC mismatched, і першы інстынкт часта — шукаць праблему з адрасам. У гэтай галіне MAC — гэта код аўтэнтыфікацыі паведамлення: значэнне, вылічанае над абменам з узгодненым ключом. Партнёр параўнаў сваё вылічэнне са значэннем, якое атрымаў, і яны адрозніваліся. Тут не задзейнічаны сеткавы адаптар, і ніякая налада інтэрфейса не змяняе гэта параўнанне.

На практыцы гэта выклікаюць дзве ўмовы: сакрэты на двух канцах не аднолькавыя, або ідэнтычнасці, якія выкарыстоўваюцца для выбару сакрэту, не адпавядаюць адна адной. Вызначце, якая з іх, чытаючы пару, а не адзін тунель.

Што даказвае этап

Праверка выконваецца пасля таго, як абодва бакі абмяняліся пачатковымі параметрамі і прадставілі сябе. Яна выбірае кандыдацкія агульныя ключы для лакальнай і аддаленай ідэнтычнасцей і спрабуе праверыць атрыманыя даныя аўтэнтыфікацыі; калі ніводзін не пацвярджаецца, выводзіцца дыягностыка. Гэта моцнае сцвярджэнне пра аўтэнтыфікацыю і слабое пра прычыну, бо яно не кажа, які бок памыляецца.

Папярэдні поспех не пераносіцца на гэтую праверку. Завершаны IKE_SA_INIT або карысная нагрузка выяўлення NAT, якая вярнула чаканыя значэнні, даказвае, што бакі могуць гаварыць. Гэта нічога не даказвае пра тое, ці дзеляць яны сакрэт.

Дзве памылкі канфігурацыі, адно паведамленне

Першая — рэальная неадпаведнасць сакрэту, і звычайна гэта вытворчая выпадковасць: згенераванае значэнне, усталяванае на адной кансолі і перадрукаванае на другой, лішні сімвал, які застаўся на адным баку, або двукоссе, якое прыйшло разам з устаўкай. Другая — неадпаведнасць ідэнтычнасці, калі сакрэт правільны, але ідэнтычнасць, якую прадстаўляе партнёр, выбірае іншы запіс, і правільны сакрэт ніколі не спрабуецца. Абодва даюць адзін і той жа радок, таму здагадкі каштуюць паўдня.

Параўнайце пару, перш чым кранаць любы сакрэт. Супаставіце тунель, канчатковую кропку партнёра, часавае акно і аддаленую канфігурацыю, бо два рэзервовыя тунелі могуць мець розныя сакрэты, і экран перад вамі можа быць не тым, што пацярпеў няўдачу.

Выяўленне NAT — гэта іншы этап

Выяўленне NAT пытаецца, як перапісваюцца пакеты, а не хто такі партнёр. Кліенцкі шлюз за NAT па-ранейшаму аўтэнтыфікуецца правільна, калі яго наладжаная ідэнтычнасць — тая, якую чакае партнёр, а праблема NAT выглядае як неадпаведнасць прапановы ці порта, а не як няўдалае параўнанне аўтэнтыфікацыі.

Не пераносьце старое сцвярджэнне пра адзін выпуск пастаўшчыка ў бягучае разгортванне. То, што патрабуе праходжанне NAT у вашым выпуску, належыць яго ўласнай дакументацыі, а фраза MAC mismatch не з'яўляецца доказам за або супраць.

Вырашайце па пары, а не па экране

Чытайце абедзве канфігурацыі побач з зацёртым сакрэтам, затым задайце тры пытанні. Ці ідэнтычнасць на кожным баку дакладна тая, якую чакае іншы, літара ў літару? Ці выкарыстоўваюць абодва бакі адну версію IKE і адзін метад аўтэнтыфікацыі? Ці адпавядае тунель, што памыляецца, канфігурацыі, якую вы чытаеце? «Не» на любое з іх вызначае рамонт без дотыку да сакрэту.

Калі ўсе тры чыстыя, замяніце сакрэт праз зацверджаны працоўны працэс, а не рэдагуйце вакол яго.

Пасля таго як партнёр аўтэнтыфікуецца

Як толькі аўтэнтыфікацыя паспяховая, наступная паверхня збою — дачэрняя асацыяцыя бяспекі: прапановы і селектары трафіку. Ратацыя сакрэту, які ўжо прыняты, не выправіць дачэрні збой і падоўжыць прастой. Чытайце стан дачэрняй асацыяцыі, затым селектары і ахоўныя дыяпазоны на абодвух баках, і супастаўце кіраўніцтва Выпраўленне непаладак Cloud VPN з этапам, які сапраўды пацярпеў няўдачу.

Супстаўце свежыя журналы з абодвух бакоў для той жа пары і таго ж акна. Адзін бок асобна дае вердыкт без уваходных даных іншага боку, і менавіта гэтая неадназначнасць першапачаткова спарадзіла паведамленне.

Чаго не варта рабіць высновы

Не чытайце паведамленне як патрабаванне змяніць MAC-адрасы і не публікуйце агульны сакрэт, просячы дапамогі; у вытрымцы, што змяшчае ключ, трэба выдаліць ключ, а не захаваць журнал. Не мяркуйце і пра памылку маршрутызацыі, бо бакі, якія не могуць дасягнуць адзін аднаго, зусім не ствараюць параўнання аўтэнтыфікацыі. І не абагульвайце дакументаванае абмежаванне адной сям'і прадуктаў на ўсялякую рэалізацыю IPsec.

Запішыце пару, якая пацярпела няўдачу, стан тунеля да і пасля, і якую з дзвюх умоў вы змянілі. Гэты запіс ператварае наступны выпадак у пяціхвілінную праверку.