Pan fo IKEv2 yn dychwelyd TS_UNACCEPTABLE, cymharwch yr is-rwydweithiau go iawn

Darllenwch TS_UNACCEPTABLE fel anghytundeb ynglŷn â'r cwmpas, nid fel proffil llygredig. Mae'r porth yn dweud na allai'r ddau gyfoed gytuno pa gyfeiriadau y gall y twnel hwn eu cludo. Gall yr IKE SA fod eisoes i fyny ar y funud honno, a dyna pam y gall cleient ymddangos fel pe bai'n gysylltiedig heb unrhyw SA blentyn y tu ôl iddo. Unwaith y byddwch yn ei fframio felly, mae'r gwaith yn dod yn fecanyddol. Nodwch raeadrau bwriedig y ddwy ochr, cymharwch nhw mewn un cyfeiriad, a chulwch nes eu bod yn croestorri.

Nodwch y parau bwriedig yn gyntaf

Cyn cyffwrdd â'r ffurfweddiad, rhestrwch bedair gwerth: ystod ffynhonnell y cychwynnwr, ei ystod cyrchfan, a'r pâr hwnnw ei hun fel y'i gwelir o safbwynt yr ymatebydd. Cofnodwch deulu'r cyfeiriadau hefyd ar gyfer pob un. Mae ystod IPv4 ac ystod IPv6 yn wahanol fathau o ddewisydd, ac ni ellir plygu'r naill i mewn i lwyth tâl y llall.

Ychwanegwch unrhyw gyfyngiad protocol neu borth a gludir gan y polisi. Mae rheol sy'n caniatáu dim ond TCP 445 i weinydd ffeilio yn disgrifio set gulach na'r is-rwydwaith y mae'n eistedd ynddo. Os gadewch hynny allan o'ch nodiadau, bydd canlyniad y trafod yn edrych yn anghyson am resymau na allwch eu gweld.

Gwrthdroi'r labeli cyn eu cymharu

Mae lleol ac anghysbell yn labeli cymharol. Rhagddodiad lleol y cleient yw ystod anghysbell y porth, ac ystod lleol y porth yw ystod anghysbell y cleient. Felly ni fydd sgrinluniau o'r ddau ben byth yn cyfateb, a'u cymharu yn llythrennol yw'r ffordd arferol o golli prynhawn.

Gall ymatebydd gulhau cynnig i is-set dderbyniol yn lle ei wrthod. Mae'r canlyniad hwnnw'n waeth na methiant glân, oherwydd ei fod yn gweithio hanner ffordd. Gofynnwch am 10.0.0.0/16 pan fo'r polisi'n caniatáu 10.0.5.0/24, a gallwch orffen gyda SA blentyn sy'n cwmpasu dim ond y /24 hwnnw. Mae un gwesteiwydd yn ateb, mae'r gweddill i gyd yn syrthio y tu allan, ac nid oes dim yn y cleient yn dweud hynny. Darllenwch y dewiswyr a dderbyniwyd yn hytrach na rhai a ofynnwyd amdanynt cyn dod i'r casgliad bod y trafod wedi llwyddo.

Mae proffiliau road warrior sy'n gofyn am lwybr diofyn yn glanio yma'n gyson. Mae porth sydd wedi'i adeiladu ar gyfer mynediad holltiedig yn culhau cynnig ystod lawn i'w is-rwydweithiau ei hun, ac mae'n rhaid i'r cleient dderbyn y canlyniad cul neu fethu'n uchel.

Darllenwch y gwrthod o un ymgais

Casglwch y ddau log o'r un ymgais gysylltu. Mae proffil a gadwyd yn dangos yr hyn a ffurfweddwyd gennych, nid yr hyn a gynigiwyd, ac ar strongSwan mae swanctl --log yn argraffu'r hysbysiad a dderbyniwyd ynghyd â'r dewiswyr a gludodd.

Yna archwiliwch yr hyn a osodwyd mewn gwirionedd. Mae swanctl --list-sas yn dangos dewiswyr y SA blentyn, ac mae ip xfrm policy yn dangos yr un ystodau fel cofnodion polisi'r cnewyllyn. SA blentyn yn y rhestr honno â dewiswyr nad oeddech yn eu bwriadu yw digwyddiad culhau; dim SA blentyn ynghyd â TS_UNACCEPTABLE yn y log yw gwrthodiad.

Tra byddwch yno, gwahanwch y cymdogion agos. Mae INVALID_SELECTORS yn cwyno am ddewisydd o fewn SA blentyn sefydledig, tra bod INTERNAL_ADDRESS_FAILURE yn golygu na allai'r ymatebydd ddyrannu cyfeiriad rhithwir, sy'n broblem gronfa yn hytrach na phroblem cwmpas.

Gwiriwch beth sy'n crebachu'r set yn ddistaw

Mae tair peth yn crebachu set o ddewisiwyr heb ddweud gair. Polisi'r ymatebydd yw'r gyntaf, trwy restrau is-rwydwaith, rheolau grŵp neu awtoreiddio fesul defnyddiwr sy'n lleihau'r cynnig i is-set. Teulu'r cyfeiriadau yw'r ail: mae cleient â stac dwbl yn aml yn cynnig IPv6 ochr yn ochr ag IPv4 ac yn cael gwrthodiad am ystodau nad yw'r porth byth wedi'u ffurfweddu.

Cyfyngiadau protocol a phorth yw'r trydydd. Lle mae'r polisi'n caniatáu dim ond TCP 445, gall SA blentyn godi tra bod ICMP ac UDP yn aros y tu allan iddi, ac mae'r defnyddiwr yn adrodd am dwnel wedi torri pan oedd un protocol yn unig a ganiatawyd erioed.

Felly ni all ehangu cyfeiriadau yn unig drwsio polisi cyfyngedig o ran porth, a hwnnw yw'r achos sy'n fwyaf tebygol o oroesi tair rownd o ddatrys problemau heb ei newid.

Profwch gwmpas gyda thraffig sy'n cyd-fynd

Ar ôl i'r SA blentyn osod, anfonwch un cais sy'n syrthio'n sicr y tu mewn i'r ystodau a dderbyniwyd. Gwyliwch y cyfrifwyr yn lle'r eicon statws: mae ip -s xfrm state a'r cyfrifwyr y tu ôl i ip xfrm policy yn cynyddu pan fo pecyn yn cael ei baru a'i amddiffyn. Mae cyfrif beitiau sy'n aros ar sero ar ôl traffig go iawn yn golygu nad oedd y cnewyllyn erioed wedi dewis y polisi hwnnw.

Mae'r sero hwnnw'n broblem llwybro neu drefn polisi, nid problem crypto. Mae hefyd yn edrych yn unfath â gwrthodiad dewisydd o safbwynt y defnyddiwr, a dyna pam y mae'n werth casglu'r cyfrifwyr cyn ailagor y proffil. Mae cyfrifwyr sy'n dringo i un cyfeiriad yn unig yn pwyntio at y llwybr dychwelyd yn lle hynny.

Gorffennwch trwy ysgrifennu'r pâr a dderbyniwyd yn y tocyn, wrth ymyl yr ystod a ofynnwyd amdani yn wreiddiol. Cadwch y dewisiad mor gul â'r gofyniad, oherwydd mae clirio'r gwall trwy ddisodli ystod breifat â phob cyfeiriad yn rhoi llawer mwy o fynediad nag a gymeradwywyd ar gyfer y cyfrif.