Quan IKEv2 retorna TS_UNACCEPTABLE, compareu les subxarxes reals

Llegiu TS_UNACCEPTABLE com un desacord de cobertura, no com un perfil malmès. La passarel·la diu que els dos iguals no s'han pogut posar d'acord sobre quines adreces pot transportar aquest túnel. La IKE SA ja pot estar enlaire en aquell moment, i per això un client pot semblar connectat sense cap SA filla al darrere. Un cop ho plantegeu així, la feina es torna mecànica. Anoteu els prefixos previstos dels dos costats, compareu-los en una sola direcció i estretiu fins que es creuin.

Primer anoteu les parelles previstes

Abans de tocar la configuració, llisteu quatre valors: el rang d'origen de l'iniciador, el seu rang de destinació i la mateixa parella vista des del responedor. Anoteu també la família d'adreces de cadascun. Un rang IPv4 i un rang IPv6 són tipus de selector diferents, i cap dels dos no es pot plegar dins la càrrega útil de l'altre.

Afegiu qualsevol restricció de protocol o de port que porti la política. Una regla que només permet TCP 445 cap a un servidor de fitxers descriu un conjunt més estret que la subxarxa on es troba. Si ho deixeu fora de les notes, el resultat de la negociació semblarà incoherent per motius que no veieu.

Invertiu les etiquetes abans de comparar-les

Local i remot són etiquetes relatives. El prefix local del client és el rang remot de la passarel·la, i el rang local de la passarel·la és el remot del client. Per això les captures de pantalla dels dos extrems no encaixen mai, i comparar-les literalment és la manera habitual de perdre una tarda.

Un responedor pot estretir una oferta fins a un subconjunt acceptable en lloc de rebutjar-la. Aquest resultat és pitjor que un fracàs net, perquè funciona a mitges. Demaneu 10.0.0.0/16 quan la política permet 10.0.5.0/24 i podeu acabar amb una SA filla que només cobreix aquest /24. Un amfitrió respon, tota la resta queda fora, i res al client ho diu. Llegiu els selectors acceptats i no els sol·licitats abans de concloure que la negociació ha reeixit.

Els perfils road warrior que demanen una ruta per defecte cauen aquí constantment. Una passarel·la feta per a accés dividit estreta una oferta de rang complet fins a les seves pròpies subxarxes, i el client ha d'acceptar el resultat estretit o fallar sorollosament.

Llegiu el rebuig a partir d'un sol intent

Recolliu els dos registres del mateix intent de connexió. Un perfil desat mostra què heu configurat, no què s'ha proposat, i a strongSwan swanctl --log imprimeix la notificació rebuda juntament amb els selectors que portava.

Després inspeccioneu què s'ha instal·lat realment. swanctl --list-sas mostra els selectors de la SA filla, i ip xfrm policy mostra els mateixos rangs com a entrades de política del nucli. Una SA filla en aquesta llista amb selectors que no volíeu és un esdeveniment d'estretiment; cap SA filla més TS_UNACCEPTABLE al registre és un refús.

Mentre hi sigueu, separeu els veïns propers. INVALID_SELECTORS es queixa d'un selector dins d'una SA filla establerta, mentre que INTERNAL_ADDRESS_FAILURE vol dir que el responedor no ha pogut assignar una adreça virtual, cosa que és un problema de pool i no de cobertura.

Reviseu què encongeix el conjunt en silenci

Tres coses encongeixen un conjunt de selectors sense dir res. La primera és la política del responedor, mitjançant llistes de subxarxes, regles de grup o autorització per usuari que redueixen l'oferta a un subconjunt. La família d'adreces és la segona: un client de doble pila sovint proposa IPv6 al costat d'IPv4 i rep un rebuig per rangs que la passarel·la mai no ha configurat.

Les restriccions de protocol i port són la tercera. On la política només permet TCP 445, una SA filla pot aixecar-se mentre ICMP i UDP queden fora, i l'usuari informa d'un túnel trencat quan un sol protocol era tot el que s'havia permès.

Per tant, ampliar només les adreces no pot arreglar una política restringida per port, que és el cas amb més probabilitats de sobreviure intacte a tres rondes de diagnosi.

Demostreu la cobertura amb trànsit que hi encaixi

Un cop instal·lada la SA filla, envieu una petició que caigui amb seguretat dins els rangs acceptats. Mireu els comptadors en lloc de la icona d'estat: ip -s xfrm state i els comptadors darrere ip xfrm policy incrementen quan un paquet es troba i es protegeix. Un recompte de bytes que es queda a zero després de trànsit real vol dir que el nucli mai no va seleccionar aquesta política.

Aquest zero és un problema d'encaminament o d'ordre de polítiques, no de criptografia. També sembla idèntic a un rebuig de selector des del punt de vista de l'usuari, i per això val la pena recollir els comptadors abans de reobrir el perfil. Els comptadors que només pugen en una direcció assenyalen més aviat el camí de tornada.

Acabeu escrivint la parella acceptada al tiquet, al costat del rang que s'havia demanat originalment. Manteniu la selecció tan estreta com el requisit, perquè esborrar l'error substituint un rang privat per totes les adreces atorga molt més accés del que es va aprovar per al compte.