Když IKEv2 vrátí TS_UNACCEPTABLE, srovnejte skutečné podsítě

Čtěte TS_UNACCEPTABLE jako nesouhlas s pokrytím, ne jako poškozený profil. Brána říká, že se dva protějšky nedokázaly dohodnout, které adresy smí tento tunel přenášet. IKE SA už v tu chvíli může být navázaná, a proto se klient může jevit jako připojený, aniž by za ním stála dceřiná SA. Když to takto rámujete, práce se stává mechanickou. Zapište zamýšlené prefixy obou stran, porovnejte je v jednom směru a zužujte, dokud se neprotknou.

Nejprve si zapište zamýšlené dvojice

Než se dotknete konfigurace, sepište čtyři hodnoty: zdrojový rozsah iniciátora, jeho cílový rozsah a stejnou dvojici viděnou z pohledu respondéra. Zapište také adresní rodinu každé z nich. Rozsah IPv4 a rozsah IPv6 jsou různé typy selektorů a ani jeden nelze složit do užitečné zátěže toho druhého.

Přidejte jakékoli omezení protokolu nebo portu, které politika nese. Pravidlo povolující jen TCP 445 k souborovému serveru popisuje užší množinu než podsíť, ve které sídlí. Necháte-li to mimo poznámky, bude výsledek vyjednávání vypadat nekonzistentně z důvodů, které nevidíte.

Otočte popisky, než je srovnáte

Místní a vzdálené jsou relativní popisky. Místní prefix klienta je vzdálený rozsah brány a místní rozsah brány je vzdálený rozsah klienta. Proto snímky obrazovky z obou konců nikdy nesedí a doslovné srovnávání je standardní způsob, jak ztratit odpoledne.

Respondér může nabídku zúžit na přijatelnou podmnožinu, místo aby ji odmítl. Tento výsledek je horší než čisté selhání, protože funguje napůl. Požádejte o 10.0.0.0/16, když politika povoluje 10.0.5.0/24, a můžete skončit s dceřinou SA pokrývající jen tuto /24. Odpoví jeden hostitel, všechno ostatní zůstane venku a nic v klientovi to neřekne. Než usoudíte, že vyjednávání uspělo, čtěte přijaté selektory, ne ty požadované.

Profily road warrior, které žádají výchozí trasu, sem neustále padají. Brána postavená pro rozdělený přístup zužuje nabídku plného rozsahu na své vlastní podsítě a klient musí zúžený výsledek přijmout, nebo hlasitě selhat.

Čtěte odmítnutí z jednoho pokusu

Seberte oba záznamy ze stejného pokusu o připojení. Uložený profil ukazuje, co jste nastavili, ne co bylo navrženo, a na strongSwanu swanctl --log vypíše přijaté oznámení spolu se selektory, které neslo.

Pak prohlédněte, co se skutečně nainstalovalo. swanctl --list-sas ukazuje selektory dceřiné SA a ip xfrm policy ukazuje stejné rozsahy jako položky politiky jádra. Dceřiná SA v tom seznamu se selektory, které jste nezamýšleli, je událost zúžení; žádná dceřiná SA plus TS_UNACCEPTABLE v záznamu je odmítnutí.

Dokud jste tam, oddělte blízké sousedy. INVALID_SELECTORS si stěžuje na selektor uvnitř zavedené dceřiné SA, zatímco INTERNAL_ADDRESS_FAILURE znamená, že respondér nemohl přidělit virtuální adresu, což je problém poolu, ne pokrytí.

Prověřte, co množinu tiše zmenšuje

Tři věci zmenšují množinu selektorů, aniž by cokoli řekly. První je politika respondéra skrz seznamy podsítí, skupinová pravidla nebo autorizaci po uživatelích, které nabídku redukují na podmnožinu. Druhou je adresní rodina: klient se dvěma zásobníky často navrhuje IPv6 vedle IPv4 a dostane odmítnutí pro rozsahy, které brána nikdy nenastavila.

Třetí jsou omezení protokolu a portu. Kde politika povoluje jen TCP 445, může se dceřiná SA zvednout, zatímco ICMP a UDP zůstávají mimo ni, a uživatel hlásí rozbitý tunel, když byl povolen jen jeden protokol.

Proto samotné rozšiřování adres nemůže opravit politiku omezenou portem, a to je případ, který nejspíš přežije tři kola řešení problémů beze změny.

Dokažte pokrytí provozem, který sedí

Po instalaci dceřiné SA pošlete jeden požadavek, který jistě padne dovnitř přijatých rozsahů. Sledujte čítače místo ikony stavu: ip -s xfrm state a čítače za ip xfrm policy rostou, když je paket spárován a chráněn. Počet bajtů, který po skutečném provozu zůstane na nule, znamená, že jádro tu politiku nikdy nezvolilo.

Ta nula je problém směrování nebo pořadí politik, ne kryptografie. Z pohledu uživatele také vypadá stejně jako odmítnutí selektoru, a proto stojí za to čítače sehrat, než profil znovu otevřete. Čítače, které rostou jen jedním směrem, ukazují spíš na zpáteční cestu.

Skončete zápisem přijaté dvojice do tiketu, vedle rozsahu, který byl původně požadován. Držte volbu tak úzkou, jak vyžaduje požadavek, protože smazání chyby nahrazením soukromého rozsahu všemi adresami uděluje mnohem víc přístupu, než bylo pro účet schváleno.