Pět rolí adresy v profilu IPsec a která z nich je špatná

Pět různých úloh dostává v typické definici spojení adresu a nemusejí se navzájem shodovat. Správci se zaseknou, protože rozumný instinkt, tedy nasměrovat všechna pole na stejného hostitele, je u nejméně tří z nich špatný. Cesta ven je nejprve pojmenovat symptom a pak se podívat na jedno nebo dvě pole, která ho mohla způsobit.

Pět úloh v pořadí, v jakém jsou důležité

Koncový bod transportu je místo, kam se doručuje výměna IKE. Ověřená identita je jméno, které každá strana prokazuje, a posuzuje se podle zásad, nikoli podle směrovací tabulky. Chráněné podsítě jsou selektory, které rozhodují, který vnitřní provoz do tunelu patří. Pak je tu zdroj používaný tehdy, když brána sama zahájí konverzaci, a nakonec další skok podkladové vrstvy pro dosažení protějšku.

Štítky účastníků jako left a right jsou konvence pro dvě strany spojení, ne synonyma pro místní a vzdálené. Přečtěte si příručku k implementaci, která je skutečně nainstalovaná, než budete předpokládat, že klíč znamená to, co pod ním mínil jiný produkt.

Rozhodnutí první: nic se neustaví

Když se v protokolech vůbec neobjeví výměna, je prvním podezřelým koncový bod: špatná adresa, filtrovaná cesta nebo rozhraní, na kterém démon neposlouchá. K polím identity přejděte až poté, co je vidět handshake, protože identita se posuzuje uvnitř výměny, ne před ní. Filtrovaná cesta a špatná adresa vypadají z pohledu klienta stejně, proto před jakoukoli úpravou zkontrolujte stranu, která naslouchá. Potvrďte, že démon je navázán na rozhraní, které očekáváte, protože služba naslouchající na jedné adrese vypadá přesně jako zablokovaná cesta.

Veřejná adresa pozorovaná přes překlad není totéž co identita, kterou protějšek prokazuje. Změna adresy tak, aby odpovídala tomu, co zachytávání paketů ukazuje na vzdáleném konci, je častá a špatná oprava.

Rozhodnutí druhé: tunel je nahoře a provoz umírá

Selektory rozhodují, co do tunelu vstoupí, a neshoda zde vytvoří spojení, které úspěšně vyjedná, zatímco aplikace stále selhává. Vzdálená strana musí váš chráněný rozsah uvést jako svůj vzdálený rozsah, a právě tam se vkrádají obrácené hodnoty.

Přečtěte obě konfigurace vedle sebe, než začnete upravovat. Místní rozsah na jednom hostiteli je vzdálený rozsah na druhém a jediná prohozená dvojice vysvětlí tunel, který nic nepřenáší. Zužte dvojici, než se dotknete klíčů: jedna podsíť uvnitř tunelu a jedna vně vám řekne, zda je na vině selektor, nebo směrování.

Rozhodnutí třetí: selhává jen vlastní provoz brány

Provoz přeposílaný pro klienty může fungovat bezvadně, zatímco požadavek, který brána sama zahájí, selhává, protože tento tok nemá klientský zdroj, který by zdědil. Nastavení preferovaného zdroje existuje právě pro tento případ a není překladem zdroje: vybírá zdrojovou adresu, místo aby ji přepisovalo.

Aplikace, která výslovně naváže jinou adresu, může preferenci přebít, proto před závěrem, že se nastavení ignoruje, potvrďte skutečný zdroj paketu. Zachytávejte na vlastním rozhraní brány, místo abyste věřili záměru konfigurace.

Další skok je místní instrukce

Další skok podkladové vrstvy říká tomuto hostiteli, jak dosáhnout protějšku, a vzdálená strana stejnou hodnotu nepotřebuje. Pojímat ho jako sdílené nastavení nebo natvrdo zadat výchozí bránu se rozbije ve chvíli, kdy se změní trasa nebo se objeví druhá cesta.

Některé implementace zde nabízejí zvláštní hodnoty. To, co příručka uvádí pro nainstalovanou verzi, je jediná bezpečná odpověď a místní směrovací tabulka je důkazem, že to fungovalo. Když je protějšek dosažitelný podle jména, ale ne podle adresy, je tato neshoda nálezem, ne detailem k obcházení.

Čtěte profil z obou konců

Prohození rolí na papíře je nejrychlejší revize, jaká existuje: vyměňte chráněné rozsahy, ponechte každé straně její vlastní další skok a její vlastní identitu. Vše, co výměnu nepřežije, je pravděpodobně přiřazeno špatné úloze.

Pak otestujte jeden tok na roli: dosažitelnost mezi protějšky, vnitřní klientský tok a požadavek vznikající na bráně. Tři testy vám řeknou, která úloha je špatně přiřazená, aniž byste znovu otevírali konfiguraci. Přidejte výsledek do tiketu vedle pole, které jste změnili, protože další inženýr potká stejný profil.