Όταν το IKEv2 επιστρέφει TS_UNACCEPTABLE, συγκρίνετε τα πραγματικά υποδίκτυα

Διαβάστε το TS_UNACCEPTABLE ως διαφωνία κάλυψης, όχι ως κατεστραμμένο προφίλ. Η πύλη λέει ότι οι δύο ομότιμοι δεν μπόρεσαν να συμφωνήσουν ποιες διευθύνσεις επιτρέπεται να μεταφέρει αυτή η σήραγγα. Το IKE SA μπορεί να είναι ήδη ενεργό εκείνη τη στιγμή, γι' αυτό ένας πελάτης μπορεί να φαίνεται συνδεδεμένος χωρίς κανένα θυγατρικό SA πίσω του. Μόλις το πλαισιώσετε έτσι, η δουλειά γίνεται μηχανική. Γράψτε τα προτιθέμενα προθέματα και των δύο πλευρών, συγκρίνετε τα προς μία κατεύθυνση και στενέψτε τα μέχρι να τέμνονται.

Γράψτε πρώτα τα προτιθέμενα ζεύγη

Πριν αγγίξετε τη διαμόρφωση, καταγράψτε τέσσερις τιμές: το εύρος προέλευσης του εκκινητή, το εύρος προορισμού του και το ίδιο ζεύγος όπως φαίνεται από τον αποκρινόμενο. Σημειώστε επίσης την οικογένεια διευθύνσεων καθενός. Ένα εύρος IPv4 και ένα εύρος IPv6 είναι διαφορετικοί τύποι επιλογέα και κανένα δεν μπορεί να διπλωθεί στο φορτίο του άλλου.

Προσθέστε οποιονδήποτε περιορισμό πρωτοκόλλου ή θύρας φέρει η πολιτική. Ένας κανόνας που επιτρέπει μόνο TCP 445 προς έναν διακομιστή αρχείων περιγράφει στενότερο σύνολο από το υποδίκτυο στο οποίο βρίσκεται. Αν το αφήσετε έξω από τις σημειώσεις σας, το αποτέλεσμα της διαπραγμάτευσης θα φαίνεται ασυνεπές για λόγους που δεν βλέπετε.

Αντιστρέψτε τις ετικέτες πριν τις συγκρίνετε

Το τοπικό και το απομακρυσμένο είναι σχετικές ετικέτες. Το τοπικό πρόθεμα του πελάτη είναι το απομακρυσμένο εύρος της πύλης, και το τοπικό εύρος της πύλης είναι το απομακρυσμένο του πελάτη. Γι' αυτό τα στιγμιότυπα από τα δύο άκρα δεν ταιριάζουν ποτέ, και η κατά γράμμα σύγκρισή τους είναι ο συνήθης τρόπος να χάσετε ένα απόγευμα.

Ο αποκρινόμενος μπορεί να στενέψει μια προσφορά σε ένα αποδεκτό υποσύνολο αντί να την απορρίψει. Αυτό το αποτέλεσμα είναι χειρότερο από μια καθαρή αποτυχία, επειδή λειτουργεί μισά. Ζητήστε 10.0.0.0/16 όταν η πολιτική επιτρέπει 10.0.5.0/24 και μπορεί να καταλήξετε με θυγατρικό SA που καλύπτει μόνο αυτό το /24. Ένας κεντρικός υπολογιστής απαντά, όλα τα άλλα πέφτουν έξω, και τίποτα στον πελάτη δεν το λέει. Διαβάστε τους αποδεκτούς επιλογείς και όχι τους ζητούμενους πριν συμπεράνετε ότι η διαπραγμάτευση πέτυχε.

Προφίλ road warrior που ζητούν προεπιλεγμένη διαδρομή πέφτουν εδώ συνεχώς. Μια πύλη φτιαγμένη για διαιρεμένη πρόσβαση στενεύει μια προσφορά πλήρους εύρους στα δικά της υποδίκτυα, και ο πελάτης πρέπει να δεχτεί το στενεμένο αποτέλεσμα ή να αποτύχει ηχηρά.

Διαβάστε την απόρριψη από μία μόνο προσπάθεια

Συλλέξτε και τα δύο αρχεία καταγραφής από την ίδια προσπάθεια σύνδεσης. Ένα αποθηκευμένο προφίλ δείχνει τι διαμορφώσατε, όχι τι προτάθηκε, και στο strongSwan το swanctl --log εκτυπώνει την ειδοποίηση που ελήφθη μαζί με τους επιλογείς που έφερε.

Έπειτα ελέγξτε τι εγκαταστάθηκε πραγματικά. Το swanctl --list-sas δείχνει τους επιλογείς του θυγατρικού SA, και το ip xfrm policy δείχνει τα ίδια εύρη ως καταχωρίσεις πολιτικής του πυρήνα. Ένα θυγατρικό SA σε αυτή τη λίστα με επιλογείς που δεν σκοπεύατε είναι γεγονός στένωσης· κανένα θυγατρικό SA συν TS_UNACCEPTABLE στο αρχείο σημαίνει άρνηση.

Όσο είστε εκεί, ξεχωρίστε τους κοντινούς γείτονες. Το INVALID_SELECTORS παραπονιέται για επιλογέα μέσα σε εδραιωμένο θυγατρικό SA, ενώ το INTERNAL_ADDRESS_FAILURE σημαίνει ότι ο αποκρινόμενος δεν μπόρεσε να εκχωρήσει εικονική διεύθυνση, που είναι πρόβλημα δεξαμενής και όχι κάλυψης.

Ελέγξτε τι συρρικνώνει αθόρυβα το σύνολο

Τρία πράγματα συρρικνώνουν ένα σύνολο επιλογέων χωρίς να πουν τίποτα. Η πολιτική του αποκρινόμενου είναι το πρώτο, μέσω λιστών υποδικτύων, κανόνων ομάδας ή εξουσιοδότησης ανά χρήστη που μειώνουν την προσφορά σε υποσύνολο. Η οικογένεια διευθύνσεων είναι το δεύτερο: ένας πελάτης διπλής στοίβας συχνά προτείνει IPv6 δίπλα στο IPv4 και λαμβάνει απόρριψη για εύρη που η πύλη δεν διαμόρφωσε ποτέ.

Οι περιορισμοί πρωτοκόλλου και θύρας είναι το τρίτο. Όπου η πολιτική επιτρέπει μόνο TCP 445, ένα θυγατρικό SA μπορεί να ανέβει ενώ το ICMP και το UDP μένουν έξω από αυτό, και ο χρήστης αναφέρει σπασμένη σήραγγα ενώ ένα μόνο πρωτόκολλο ήταν το μόνο που είχε ποτέ επιτραπεί.

Επομένως η διεύρυνση των διευθύνσεων μόνη της δεν μπορεί να διορθώσει μια πολιτική περιορισμένη σε θύρα, και αυτή είναι η περίπτωση που πιθανότατα θα επιβιώσει τρεις γύρους διάγνωσης χωρίς αλλαγή.

Αποδείξτε την κάλυψη με κίνηση που ταιριάζει

Αφού εγκατασταθεί το θυγατρικό SA, στείλτε ένα αίτημα που σίγουρα πέφτει μέσα στα αποδεκτά εύρη. Παρακολουθήστε τους μετρητές αντί για το εικονίδιο κατάστασης: το ip -s xfrm state και οι μετρητές πίσω από το ip xfrm policy αυξάνονται όταν ένα πακέτο αντιστοιχιστεί και προστατευτεί. Ένας αριθμός byte που μένει στο μηδέν μετά από πραγματική κίνηση σημαίνει ότι ο πυρήνας δεν επέλεξε ποτέ αυτή την πολιτική.

Αυτό το μηδέν είναι πρόβλημα δρομολόγησης ή σειράς πολιτικών, όχι κρυπτογραφίας. Επίσης μοιάζει πανομοιότυπο με απόρριψη επιλογέα από τη θέση του χρήστη, γι' αυτό αξίζει να συλλέξετε τους μετρητές πριν ανοίξετε ξανά το προφίλ. Οι μετρητές που ανεβαίνουν μόνο προς μία κατεύθυνση δείχνουν αντίθετα την επιστροφή.

Ολοκληρώστε γράφοντας το αποδεκτό ζεύγος στο εισιτήριο, δίπλα στο εύρος που ζητήθηκε αρχικά. Κρατήστε την επιλογή τόσο στενή όσο η απαίτηση, γιατί η άρση του σφάλματος αντικαθιστώντας ένα ιδιωτικό εύρος με όλες τις διευθύνσεις παρέχει πολύ περισσότερη πρόσβαση από όση εγκρίθηκε για τον λογαριασμό.