Пет роли на адреса в профил на IPsec и коя от тях е грешна

Пет различни задачи получават адрес в типична дефиниция на връзка и не е нужно да съвпадат една с друга. Администраторите засядат, защото разумният инстинкт — всички полета да сочат към един и същ хост — е грешен за поне три от тях. Изходът е първо да назовете симптома и после да погледнете едното или двете полета, които биха могли да го предизвикат.

Петте задачи, в реда, в който имат значение

Крайната точка на транспорта е мястото, където се доставя обменът на IKE. Удостоверената идентичност е името, което всяка страна доказва, и то се проверява спрямо политика, а не спрямо таблица за маршрутизация. Защитените подмрежи са селекторите, които решават кой вътрешен трафик принадлежи на тунела. След това идва източникът, използван, когато самият шлюз започне разговор, и накрая следващият хоп на долния слой за достигане до партньора.

Етикетите на участниците като left и right са конвенции за двете страни на връзката, а не синоними на „локален“ и „отдалечен“. Прочетете ръководството за действително инсталираната реализация, преди да приемете, че даден ключ означава това, което друг продукт е имал предвид.

Решение първо: нищо не се установява

Когато в журналите изобщо не се появи обмен, крайната точка е първият заподозрян: грешен адрес, филтриран път или интерфейс, на който демонът не слуша. Преминете към полетата за идентичност само след като ръкостискането се види, защото идентичността се преценява вътре в обмена, а не преди него. Филтриран път и грешен адрес изглеждат еднакво от страна на клиента, затова проверете страната на слушане, преди да редактирате нещо. Потвърдете, че демонът е вързан към интерфейса, който очаквате, защото услуга, слушаща на един адрес, изглежда точно като блокиран път.

Публичен адрес, наблюдаван през транслация, не е същото нещо като идентичността, която партньорът доказва. Промяна на адрес, за да съвпадне с това, което прихващането на пакети показва в далечния край, е често срещана и грешна корекция.

Решение второ: тунелът е вдигнат и трафикът умира

Селекторите решават какво влиза в тунела и несъответствие тук дава връзка, която договаря успешно, докато приложението все още се проваля. Далечната страна трябва да назове вашия защитен диапазон като свой отдалечен диапазон и точно там се промъкват обърнати стойности.

Прочетете двете конфигурации една до друга, преди да редактирате. Локалният диапазон на единия хост е отдалеченият диапазон на другия и една разменена двойка обяснява тунел, който не носи нищо. Стеснете двойката, преди да пипате ключовете: една подмрежа вътре в тунела и една отвън ви казва дали селекторът, или маршрутизацията е виновна.

Решение трето: проваля се само собственият трафик на шлюза

Трафикът, препредаван за клиенти, може да работи безупречно, докато заявка, която шлюзът започва сам, се проваля, защото този поток няма клиентски източник, който да наследи. Настройката за предпочитан източник съществува точно за този случай и тя не е транслация на източника: избира адрес на източник, вместо да пренаписва такъв.

Приложение, което изрично свързва друг адрес, може да отмени предпочитанието, затова потвърдете действителния източник на пакета, преди да заключите, че настройката се игнорира. Прихващайте на собствения интерфейс на шлюза, вместо да вярвате на намерението на конфигурацията.

Следващият хоп е локална инструкция

Следващият хоп на долния слой казва на този хост как да достигне партньора и далечната страна няма нужда от същата стойност. Отнасянето към него като към споделена настройка или твърдото кодиране на шлюз по подразбиране се чупи в момента, в който маршрутът се промени или се появи втори път.

Някои реализации предлагат специални стойности тук. Това, което ръководството изброява за инсталираната версия, е единственият безопасен отговор и локалната таблица за маршрутизация е доказателството, че е проработило. Когато партньорът е достъпен по име, но не по адрес, това несъответствие е находката, а не подробност, която да се заобикаля.

Четете профила от двата края

Обръщането на ролите на хартия е най-бързият преглед, който съществува: разменете защитените диапазони, запазете собствения следващ хоп на всяка страна и собствената идентичност на всяка страна. Всичко, което не издържа на размяната, вероятно е възложено на грешната задача.

След това тествайте един поток на роля: достъпност между партньорите, вътрешен клиентски поток и заявка, произхождаща от шлюза. Три теста ви казват коя задача е възложена погрешно, без да отваряте конфигурацията отново. Добавете резултата в билета до полето, което сте променили, защото следващият инженер ще срещне същия профил.