Ο εισερχόμενος ομότιμος IPsec δεν ταιριάζει με κανένα προφίλ; Ελέγξτε τέσσερα πεδία

Ο ομότιμός σας αναφέρει ότι η σήραγγα είναι ενεργή, η πλευρά σας δεν εμφανίζει καμία συσχέτιση ασφαλείας και το αρχείο ρυθμίσεων περιέχει σαφώς ένα ταιριαστό όνομα σύνδεσης. Και οι τρεις δηλώσεις μπορούν να ισχύουν ταυτόχρονα. Μια εισερχόμενη διαπραγμάτευση αντιπαραβάλλεται με τις τρέχουσες ρυθμίσεις, με βάση τη διεύθυνση του ομοτίμου, την ταυτότητα που παρουσιάζει και την κίνηση που προτείνει. Ένα αρχείο στον δίσκο που δεν φορτώθηκε ποτέ, μια ταυτότητα που δεν ταιριάζει με την αναμενόμενη τιμή ή ένα ζεύγος επιλογέων με απόκλιση ενός προθέματος — καθένα παράγει σιωπή. Διατρέξτε τις τέσσερις ομάδες πεδίων με τη σειρά που ακολουθεί ο αποκρινόμενος.

Ξεκινήστε από το πακέτο, όχι από το αρχείο

Ο αποκρινόμενος λαμβάνει ένα αίτημα IKE, αναζητά ορισμό που μπορεί να δεχθεί αυτόν τον ομότιμο και στη συνέχεια συνεχίζει με έλεγχο ταυτότητας και επιλογή κίνησης. Αν στο πρώτο βήμα δεν ταιριάζει κανένας φορτωμένος ορισμός, η διαπραγμάτευση τελειώνει πριν φτάσει στον χρήστη οποιοδήποτε χρήσιμο σφάλμα.

Γι' αυτό το «οι ρυθμίσεις φαίνονται σωστές» δεν είναι απόδειξη. Το ερώτημα είναι τι έχει φορτώσει η υπηρεσία που εκτελείται και ποια καταχώριση επέλεξε για αυτή την προσπάθεια. Μια λίστα κατάστασης το απαντά με μία εντολή, ενώ ο buffer του επεξεργαστή απαντά σε άλλο ερώτημα. Ελέγξτε τη λίστα πριν αλλάξετε ξανά το αρχείο.

Πρώτη ομάδα πεδίων: ο ορισμός που είναι πράγματι φορτωμένος

Ελέγξτε την τρέχουσα κατάσταση με το εργαλείο που κατέχει τον δαίμονα: εντολή κατάστασης που απαριθμεί τις φορτωμένες συνδέσεις, όχι ο buffer του επεξεργαστή. Επιβεβαιώστε ότι η καταχώριση που περιμένετε υπάρχει, είναι ενεργοποιημένη για τη συμπεριφορά εκκίνησης που θέλετε και φορτώθηκε μετά την τελευταία σας επεξεργασία. Ένα αποθηκευμένο αρχείο που δεν έχει επαναφορτωθεί είναι η συνηθέστερη αιτία του «το διόρθωσα και δεν άλλαξε τίποτα».

Επιβεβαιώστε επίσης ποιο αρχείο διαβάζει η υπηρεσία. Οι διανομές διαφέρουν και μια σύνδεση γραμμένη σε λάθος include αγνοείται σιωπηλά αντί να απορρίπτεται. Αν η λίστα κατάστασης δεν δείχνει καθόλου την καταχώρισή σας, υποπτευθείτε τη διαδρομή include πριν υποπτευθείτε τη σύνταξη.

Δεύτερη ομάδα πεδίων: τα άκρα δεν είναι ταυτότητες

Η διεύθυνση από την οποία συνδέεται ο ομότιμος και η ταυτότητα με την οποία πιστοποιείται είναι ξεχωριστά πεδία. Ένα όνομα κεντρικού υπολογιστή, ένα διακριτικό όνομα, ένα αναγνωριστικό κλειδιού και μια διεύθυνση μπορούν όλα να χρησιμεύσουν ως ταυτότητα IKE ανάλογα με τις ρυθμίσεις, και δεν χρειάζεται καθόλου να μοιάζουν με τη δημόσια διεύθυνση.

Η αντιστοίχιση άκρων μπορεί να περιλαμβάνει και οπτική NAT: η διεύθυνση που φαίνεται στο δίκτυο μπορεί να διαφέρει από τη διεύθυνση που ο ομότιμος νομίζει ότι έχει. Στο μοντέλο συνδέσεων του libreswan, τα left και right είναι ετικέτες για τους δύο συμμετέχοντες και όχι σταθερή σειρά τοπικού και απομακρυσμένου, γι' αυτό η αντιγραφή μιας λειτουργικής ρύθμισης από άλλη τοποθεσία με ανταλλαγή των διευθύνσεων δεν είναι αξιόπιστη μεταφορά.

Γράψτε την αναμενόμενη ταυτότητα και των δύο πλευρών και το διαπιστευτήριο που την επικυρώνει. Αν αυτές οι δύο γραμμές διαφωνούν, καμία ποσότητα προσαρμογής διευθύνσεων δεν θα παράγει αντιστοίχιση.

Τρίτη ομάδα πεδίων: η κίνηση που προστατεύεται

Οι επιλογείς περιγράφουν τα εσωτερικά εύρη πηγής και προορισμού, την οικογένεια διευθύνσεών τους και οποιονδήποτε περιορισμό πρωτοκόλλου ή θύρας. Μια πρόταση για τη διεύθυνση ενός host δεν είναι το ίδιο αίτημα με ένα ολόκληρο υποδίκτυο, και ένας αποκρινόμενος ρυθμισμένος για το υποδίκτυο μπορεί να την απορρίψει ή να τη στενέψει.

Όταν τα δύο άκρα διαφωνούν, συγκρίνετε την προβλεπόμενη ροή και από τις δύο οπτικές γωνίες αντί να διευρύνετε κάθε επιλογέα για να συνδεθεί κάτι. Ρωτήστε κάθε διαχειριστή ποια ροή πιστεύει ότι προστατεύει και μετά συγκρίνετε τις δύο απαντήσεις. Η ασυμφωνία είναι συνήθως ένα πρόθεμα host στη μία πλευρά και ένα υποδίκτυο στην άλλη. Μια σήραγγα που ταιριάζει επειδή τώρα προστατεύει τα πάντα είναι διαφορετική απόφαση ασφαλείας, και μία που κανείς δεν ενέκρινε.

Τέταρτη ομάδα πεδίων: διαβάζετε μία υλοποίηση

Το Libreswan, το παλαιότερο Openswan και το strongSwan έχουν διαφορετικά εργαλεία διαχείρισης, διαφορετική σύνταξη ρυθμίσεων και διαφορετική σειρά αντιστοίχισης. Ένα λειτουργικό παράδειγμα από το ένα δεν λέει τίποτα ακριβές για την προτεραιότητα επιλογής προφίλ ή τη διατύπωση σφαλμάτων του άλλου, γι' αυτό επαληθεύστε με την τεκμηρίωση για τον δαίμονα σε αυτόν τον host.

Συσχετίστε μία προσπάθεια από άκρη σε άκρη: τη διεύθυνση πηγής του εκκινητή, την ταυτότητα που προσφέρεται και τους προτεινόμενους επιλογείς — με το μήνυμα επιλογής του αποκρινόμενου και τη φορτωμένη καταχώριση που ονομάζει. Οι μηδενικοί μετρητές ενθυλάκωσης και αποενθυλάκωσης λένε μόνο ότι οι παρατηρούμενες συσχετίσεις δεν μετέφεραν αυτά τα πακέτα· δεν ονομάζουν το άκρο που απέρριψε την πρόταση ούτε αποδεικνύουν ότι υπήρχε ταιριαστή καταχώριση εκείνη τη στιγμή.

Μετά από συντονισμένη διόρθωση επιβεβαιώστε το επιλεγμένο προφίλ και τη συσχέτιση και μετά δοκιμάστε την πραγματικά επιτρεπόμενη υπηρεσία και τη διαδρομή απάντησής της. Η αντιστοίχιση προφίλ επιτρέπει τη διαπραγμάτευση, και η διαπραγμάτευση δεν είναι ο τελευταίος έλεγχος πρόσβασης.