Входящият IPsec партньор не съвпада с нито един профил? Проверете четири полета

Партньорът ви съобщава, че тунелът е вдигнат, вашата страна не показва асоциация за сигурност, а конфигурационният файл очевидно съдържа подходящо име на връзка. Тези три твърдения могат да бъдат едновременно верни. Входящата договорка се съпоставя с работещата конфигурация по адреса на партньора, самоличността, която той представя, и трафика, който предлага. Файл на диска, който никога не е бил зареден, самоличност, която не съвпада с очакваната стойност, или двойка селектори с разлика от един префикс — всяко от тях води до мълчание. Преминете четирите групи полета в реда, в който действа ответникът.

Започнете от пакета, а не от файла

Ответникът получава IKE заявка, търси дефиниция, която може да приеме този партньор, и след това продължава с удостоверяване и избор на трафик. Ако на първата стъпка не съвпадне нито една заредена дефиниция, договорката приключва, преди до потребителя да стигне някаква полезна грешка.

Затова „конфигурацията изглежда правилна“ не е доказателство. Въпросът е какво е заредила работещата услуга и кой запис е избрала за този опит. Списъкът на състоянието отговаря на това с една команда, докато буферът на редактора отговаря на друг въпрос. Проверете списъка, преди отново да променяте файла.

Група полета първа: дефиницията, която действително е заредена

Проверете работещото състояние с инструмента, който управлява демона: команда за състояние със списък на заредените връзки, а не буфера на редактора. Потвърдете, че очакваният запис присъства, че е разрешен за желаното от вас поведение при стартиране и че е зареден след последната ви редакция. Запазен файл, който не е презареден, е най-честата причина за „поправих го и нищо не се промени“.

Потвърдете също кой файл чете услугата. Дистрибуциите се различават и връзка, записана в грешен включен файл, се игнорира тихо, вместо да бъде отхвърлена. Ако списъкът на състоянието изобщо не показва вашия запис, подозирайте пътя на включването, преди да подозирате синтаксиса.

Група полета втора: крайните точки не са самоличности

Адресът, от който партньорът се свързва, и самоличността, с която се удостоверява, са отделни полета. Име на хост, отличително име, идентификатор на ключ и адрес могат да служат като IKE самоличност според конфигурацията и изобщо не е нужно да изглеждат като публичния адрес.

Съпоставянето на крайни точки може да включва и изглед през NAT: адресът, виждан по мрежата, може да се различава от адреса, който партньорът смята, че има. В модела на връзките на libreswan left и right са етикети за двамата участници, а не фиксиран ред локален и отдалечен, поради което копирането на работеща конфигурация от друг обект с размяна на адресите не е надежден превод.

Запишете очакваната самоличност на двете страни и удостоверението, което я валидира. Ако тези два реда не съвпадат, никакво коригиране на адреси няма да даде съвпадение.

Група полета трета: трафикът, който се защитава

Селекторите описват вътрешните диапазони на източник и местоназначение, тяхното семейство адреси и всяко ограничение по протокол или порт. Предложение за адрес на един хост не е същата заявка като за цяла подмрежа и ответник, настроен за подмрежата, може да го откаже или стесни.

Когато двата края не съвпадат, сравнете предвидения поток от двете гледни точки, вместо да разширявате всеки селектор, за да се свърже нещо. Попитайте всеки администратор за потока, който смята, че защитава, и после сравнете двата отговора. Разминаването обикновено е префикс на хост от едната страна и подмрежа от другата. Тунел, който съвпада, защото сега защитава всичко, е различно решение за сигурност и такова, което никой не е одобрил.

Група полета четвърта: четете една реализация

Libreswan, старият Openswan и strongSwan имат различни инструменти за управление, различен синтаксис на конфигурацията и различен ред на съпоставяне. Работещ пример от един не казва нищо точно за приоритета при избор на профил или формулировката на грешките на друг, затова проверявайте с документацията за демона на този хост.

Свържете един опит от край до край: адреса на източника на инициатора, предложената самоличност и предложените селектори — срещу съобщението за избор на ответника и заредения запис, който то назовава. Нулевите броячи на капсулиране и декапсулиране казват само, че наблюдаваните асоциации не са пренасяли тези пакети; те не назовават крайната точка, която е отхвърлила предложението, и не доказват, че в онзи момент е съществувал съвпадащ запис.

След съгласувано коригиране потвърдете избрания профил и асоциация, после изпробвайте действително разрешената услуга и пътя на отговора ѝ. Съвпадението на профил позволява договаряне, а договарянето не е последната проверка за достъп.