Cinc papers de l'adreça en un perfil IPsec, i quin és el dolent

Cinc feines diferents reben una adreça en una definició de connexió típica, i no cal que coincideixin entre elles. Els administradors s'encallen perquè un instint raonable, fer que tots els camps apuntin al mateix amfitrió, és equivocat per a almenys tres d'ells. La sortida és anomenar primer el símptoma i després mirar el camp o els dos camps que el podrien produir.

Les cinc feines, en l'ordre en què importen

El punt final de transport és on es lliura l'intercanvi IKE. La identitat autenticada és el nom que demostra cada costat, i es comprova contra la política, no contra una taula d'encaminament. Les subxarxes protegides són els selectors que decideixen quin trànsit intern pertany al túnel. Després hi ha l'origen que s'usa quan la mateixa passarel·la inicia una conversa, i finalment el salt següent de la capa inferior per arribar al parell.

Les etiquetes de participant com left i right són convencions per als dos costats d'una connexió, no sinònims de local i remot. Llegiu el manual de la implementació que realment està instal·lada abans de suposar que una clau significa el que un altre producte hi entenia.

Decisió primera: no s'estableix res

Quan als registres no hi apareix cap intercanvi, el punt final és el primer sospitós: una adreça equivocada, un camí filtrat o una interfície on el dimoni no escolta. Passeu als camps d'identitat només quan l'encaixada de mans sigui visible, perquè la identitat es jutja dins de l'intercanvi, no abans. Un camí filtrat i una adreça equivocada semblen idèntics des del client, així que comproveu el costat que escolta abans d'editar res. Confirmeu que el dimoni està lligat a la interfície que espereu, perquè un servei que escolta en una adreça sembla exactament un camí bloquejat.

Una adreça pública observada a través de la traducció no és el mateix que la identitat que demostra un parell. Canviar una adreça perquè coincideixi amb el que mostra una captura de paquets a l'extrem llunyà és una correcció habitual i equivocada.

Decisió segona: el túnel està aixecat i el trànsit mor

Els selectors decideixen què entra al túnel, i una discrepància aquí produeix una connexió que negocia amb èxit mentre l'aplicació continua fallant. El costat llunyà ha de nomenar el vostre rang protegit com a rang remot seu, i és exactament aquí on s'hi fiquen els valors invertits.

Llegiu les dues configuracions costat a costat abans d'editar. El rang local d'un amfitrió és el rang remot de l'altre, i un sol parell intercanviat explica un túnel que no transporta res. Estrebeu el parell abans de tocar les claus: una subxarxa dins del túnel i una fora us diu si la culpa és del selector o de l'encaminament.

Decisió tercera: només falla el trànsit propi de la passarel·la

El trànsit reenviat per als clients pot funcionar perfectament mentre falla una petició que la passarel·la mateixa inicia, perquè aquest flux no té cap origen de client a heretar. L'ajust d'origen preferit existeix per a aquest cas, i no és traducció d'origen: tria una adreça d'origen en lloc de reescriure'n una.

Una aplicació que lliga explícitament una altra adreça pot superar la preferència, així que confirmeu l'origen real del paquet abans de concloure que l'ajust s'ignora. Captureu a la interfície pròpia de la passarel·la en lloc de confiar en la intenció de la configuració.

El salt següent és una instrucció local

El salt següent de la capa inferior diu a aquest amfitrió com arribar al parell, i el costat llunyà no necessita el mateix valor. Tractar-lo com un ajust compartit, o codificar fixament una passarel·la per defecte, es trenca en el moment que la ruta canvia o apareix un segon camí.

Algunes implementacions ofereixen valors especials aquí. El que el manual llista per a la versió instal·lada és l'única resposta segura, i la taula d'encaminament local és la prova que va funcionar. Quan un parell és abastable pel nom però no per l'adreça, aquesta discrepància és la troballa, no un detall a esquivar.

Llegiu el perfil des dels dos extrems

Invertir els papers sobre el paper és la revisió més ràpida que hi ha: canvieu els rangs protegits, manteniu el salt següent propi de cada costat i la identitat pròpia de cada costat. Tot el que no sobreviu a l'intercanvi probablement està assignat a la feina equivocada.

Després proveu un flux per paper: abastabilitat entre parells, un flux de client intern i una petició originada a la passarel·la. Tres proves us diuen quina feina està mal assignada sense tornar a obrir la configuració. Afegiu el resultat al tiquet al costat del camp que heu canviat, perquè el proper enginyer trobarà el mateix perfil.