Pet uloga adrese u IPsec profilu i koja je od njih pogrešna

Pet različitih poslova dobija adresu u tipičnoj definiciji veze i ne moraju se međusobno slagati. Administratori zapnu jer je razuman instinkt, da sva polja pokazuju na isti host, pogrešan za barem tri od njih. Izlaz je da prvo imenujete simptom, a zatim pogledate jedno ili dva polja koja su ga mogla proizvesti.

Pet poslova, redom kojim su važni

Krajnja točka transporta je mjesto gdje se dostavlja IKE razmjena. Autentificirani identitet je ime koje svaka strana dokazuje, i on se provjerava prema politici, a ne prema tablici rutiranja. Zaštićene podmreže su selektori koji odlučuju koji unutrašnji promet pripada tunelu. Zatim tu je izvor koji se koristi kada sam pristupnik započne razgovor, i na kraju sljedeći skok donjeg sloja za dosezanje partnera.

Oznake sudionika kao left i right su konvencije za dvije strane veze, a ne sinonimi za lokalno i udaljeno. Pročitajte priručnik za implementaciju koja je stvarno instalirana prije nego pretpostavite da ključ znači ono što je drugi proizvod pod tim mislio.

Odluka prva: ništa se ne uspostavlja

Kada se u zapisima uopće ne pojavi razmjena, krajnja točka je prvi osumnjičeni: pogrešna adresa, filtrirana putanja ili sučelje na kojem demon ne sluša. Prijeđite na polja identiteta tek nakon što rukovanje postane vidljivo, jer se identitet procjenjuje unutar razmjene, a ne prije nje. Filtrirana putanja i pogrešna adresa izgledaju jednako sa strane klijenta, zato provjerite stranu slušanja prije nego bilo što uredite. Potvrdite da je demon vezan na sučelje koje očekujete, jer usluga koja sluša na jednoj adresi izgleda točno kao blokirana putanja.

Javna adresa opažena kroz prijevod nije isto što i identitet koji partner dokazuje. Mijenjanje adrese kako bi odgovarala onome što snimanje paketa pokazuje na udaljenom kraju česta je i pogrešna ispravka.

Odluka druga: tunel je podignut i promet umire

Selektori odlučuju što ulazi u tunel, a neusklađenost ovdje daje vezu koja uspješno pregovara dok aplikacija i dalje pada. Udaljena strana mora vaš zaštićeni raspon navesti kao svoj udaljeni raspon, i upravo tu se uvlače obrnute vrijednosti.

Pročitajte obje konfiguracije jednu uz drugu prije uređivanja. Lokalni raspon na jednom hostu je udaljeni raspon na drugom, a jedan zamijenjen par objašnjava tunel koji ništa ne nosi. Suzite par prije nego dotaknete ključeve: jedna podmreža unutar tunela i jedna izvan govore vam je li kriv selektor ili rutiranje.

Odluka treća: pada samo vlastiti promet pristupnika

Promet proslijeđen za klijente može raditi besprijekorno dok zahtjev koji pristupnik sam započne pada, jer taj tok nema klijentski izvor koji bi naslijedio. Postavka preferiranog izvora postoji upravo za taj slučaj i nije prijevod izvora: ona bira izvornu adresu umjesto da je prepisuje.

Aplikacija koja izričito veže drugu adresu može nadjačati preferenciju, zato potvrdite stvarni izvor paketa prije nego zaključite da se postavka zanemaruje. Snimajte na vlastitom sučelju pristupnika umjesto da vjerujete namjeri konfiguracije.

Sljedeći skok je lokalna uputa

Sljedeći skok donjeg sloja govori ovom hostu kako doći do partnera, a udaljenoj strani ne treba ista vrijednost. Tretiranje toga kao zajedničke postavke ili tvrdo kodiranje zadanog pristupnika lomi se u trenutku kada se ruta promijeni ili pojavi drugi put.

Neke implementacije nude posebne vrijednosti ovdje. Ono što priručnik navodi za instaliranu verziju jedini je siguran odgovor, a lokalna tablica rutiranja dokaz je da je uspjelo. Kada je partner dostupan po imenu ali ne po adresi, ta neusklađenost je nalaz, a ne pojedinost koju treba zaobići.

Pročitajte profil s oba kraja

Okretanje uloga na papiru najbrži je pregled koji postoji: zamijenite zaštićene raspone, zadržite vlastiti sljedeći skok svake strane i vlastiti identitet svake strane. Sve što ne preživi zamjenu vjerojatno je dodijeljeno pogrešnom poslu.

Zatim testirajte jedan tok po ulozi: dostupnost između partnera, unutrašnji klijentski tok i zahtjev koji potječe s pristupnika. Tri testa govore koji je posao pogrešno dodijeljen bez ponovnog otvaranja konfiguracije. Dodajte rezultat u tiket uz polje koje ste promijenili, jer će sljedeći inženjer susresti isti profil.