Neshoda MAC v IKE znamená, že kontrola sdíleného klíče selhala

Váš log Cloud VPN ukazuje pokus se sdíleným klíčem následovaný MAC mismatched a prvním instinktem bývá hledat problém s adresou. V této větvi je MAC kód pro autentizaci zprávy: hodnota vypočtená nad výměnou s dohodnutým klíčem. Protějšek porovnal svůj vlastní výpočet s přijatou hodnotou a lišily se. Síťová karta tu nehraje roli a žádné nastavení rozhraní toto porovnání nemění.

V praxi to způsobují dvě podmínky: tajemství na obou koncích nejsou stejná hodnota, nebo identity použité k výběru tajemství si neodpovídají. Rozhodněte kterou, čtením dvojice, ne jednoho tunelu.

Co fáze dokazuje

Kontrola probíhá poté, co obě strany vyměnily počáteční parametry a představily se. Vybere kandidátské sdílené klíče pro místní a vzdálenou identitu a pokusí se ověřit přijatá autentizační data; když žádný neprojde, vypíše se diagnostika. To je silné tvrzení o autentizaci a slabé o příčině, protože neříká, která strana je špatná.

Dřívější úspěch se do této kontroly nepřenáší. Dokončený IKE_SA_INIT nebo payload detekce NAT, který vrátil očekávané hodnoty, dokazuje, že protějšky spolu mohou mluvit. Nedokazuje nic o tom, zda sdílejí tajemství.

Dvě chyby konfigurace, jedna zpráva

První je skutečná neshoda tajemství a obvykle je to nehoda při zřizování: vygenerovaná hodnota nainstalovaná na jedné konzoli a přepsaná na druhé, koncový znak, který na jedné straně přežil, nebo uvozovka, která přišla s vložením. Druhá je neshoda identity, kdy je tajemství správné, ale identita, kterou protějšek předkládá, vybírá jinou položku, takže správné tajemství se nikdy nevyzkouší. Obě dávají stejný řádek, a proto hádání stojí jedno odpoledne.

Porovnejte dvojici, než se dotknete kteréhokoli tajemství. Spárujte tunel, koncový bod protějšku, časové okno a vzdálenou konfiguraci, protože dva redundantní tunely mohou mít různá tajemství a obrazovka před vámi nemusí být ta, která selhala.

Detekce NAT je jiná fáze

Detekce NAT se ptá, jak se pakety přepisují, ne kdo je protějšek. Zákaznická brána za NAT se stále autentizuje správně, když je její nakonfigurovaná identita ta, kterou protějšek očekává, a problém NAT se projeví jako neshoda návrhu nebo portu, nikoli jako selhané porovnání autentizace.

Nepřenášejte staré tvrzení o jedné verzi dodavatele do současného nasazení. Co průchod NAT ve vaší verzi vyžaduje, patří do její vlastní dokumentace, a fráze MAC mismatch není důkaz pro ani proti.

Rozhodujte podle dvojice, ne podle obrazovky

Přečtěte obě konfigurace vedle sebe s utajeným tajemstvím a pak položte tři otázky. Je identita na každé straně přesně to, co druhá očekává, znak po znaku? Používají oba konce stejnou verzi IKE a stejnou metodu autentizace? Odpovídá selhávající tunel konfiguraci, kterou čtete? Ne na kteroukoli z nich určuje opravu bez dotyku tajemství.

Jsou-li všechny tři čisté, nahraďte tajemství schváleným pracovním postupem, místo abyste kolem něj editovali.

Poté co se protějšek autentizuje

Jakmile autentizace uspěje, další povrch selhání je podřízená bezpečnostní asociace: návrhy a selektory provozu. Rotace již přijatého tajemství neopraví selhání podřízené asociace a prodlouží výpadek. Přečtěte stav podřízené asociace, potom selektory a chráněné rozsahy na obou stranách, a porovnejte pokyny Řešení potíží Cloud VPN s fází, která skutečně selhala.

Propojte čerstvé logy z obou konců pro stejnou dvojici a stejné okno. Jedna strana sama dává verdikt bez vstupu druhé, a to je nejednoznačnost, která zprávu původně vytvořila.

Co si nemyslet

Nečtěte zprávu jako požadavek změnit MAC adresy a nezveřejňujte sdílené tajemství, když žádáte o pomoc; výňatek obsahující klíč potřebuje klíč odstraněný, ne log zachovaný. Nepředpokládejte ani chybu směrování, protože protějšky, které se nemohou navzájem dosáhnout, nevytvářejí žádné porovnání autentizace. A nezobecňujte dokumentované omezení jedné produktové řady na každou implementaci IPsec.

Zaznamenejte selhávající dvojici, stav tunelu před a po a kterou ze dvou podmínek jste změnili. Tento záznam promění příští výskyt v pětiminutovou kontrolu.