Ασυμφωνία MAC στο IKE σημαίνει ότι ο έλεγχος του κοινού κλειδιού απέτυχε

Το αρχείο καταγραφής του Cloud VPN δείχνει μια προσπάθεια κοινού κλειδιού που ακολουθείται από MAC mismatched, και το πρώτο ένστικτο είναι συχνά να αναζητήσετε πρόβλημα διεύθυνσης. Σε αυτόν τον κλάδο το MAC είναι κωδικός ελέγχου ταυτότητας μηνύματος: μια τιμή που υπολογίζεται πάνω στην ανταλλαγή με το διαπραγματευμένο κλειδί. Ο ομότιμος συνέκρινε τον δικό του υπολογισμό με την τιμή που έλαβε, και διέφεραν. Δεν εμπλέκεται κάρτα δικτύου και καμία ρύθμιση διεπαφής δεν αλλάζει αυτή τη σύγκριση.

Στην πράξη το προκαλούν δύο συνθήκες: τα μυστικά στα δύο άκρα δεν είναι η ίδια τιμή, ή οι ταυτότητες που χρησιμοποιούνται για την επιλογή του μυστικού δεν αντιστοιχούν. Αποφασίστε ποια είναι διαβάζοντας το ζεύγος, όχι τη μεμονωμένη σήραγγα.

Τι αποδεικνύει το στάδιο

Ο έλεγχος εκτελείται αφού και οι δύο πλευρές ανταλλάξουν αρχικές παραμέτρους και ταυτοποιηθούν. Επιλέγει υποψήφια κοινά κλειδιά για την τοπική και την απομακρυσμένη ταυτότητα και προσπαθεί να επικυρώσει τα ληφθέντα δεδομένα ελέγχου ταυτότητας· όταν κανένα δεν επικυρώνεται, εκδίδεται η διάγνωση. Αυτή είναι μια ισχυρή δήλωση για τον έλεγχο ταυτότητας και μια αδύναμη για την αιτία, επειδή δεν λέει ποια πλευρά είναι λάθος.

Η προηγούμενη επιτυχία δεν μεταφέρεται σε αυτόν τον έλεγχο. Ένα ολοκληρωμένο IKE_SA_INIT, ή ένα φορτίο ανίχνευσης NAT που επέστρεψε τις αναμενόμενες τιμές, αποδεικνύει ότι οι ομότιμοι μπορούν να μιλήσουν. Δεν αποδεικνύει τίποτα για το αν μοιράζονται ένα μυστικό.

Δύο σφάλματα διαμόρφωσης, ένα μήνυμα

Το πρώτο είναι πραγματική ασυμφωνία μυστικού και συνήθως είναι ατύχημα παροχής: μια παραγόμενη τιμή εγκατεστημένη σε μία κονσόλα και ξαναπληκτρολογημένη στην άλλη, ένας χαρακτήρας στο τέλος που επιβίωσε στη μία πλευρά, ή ένα εισαγωγικό που ήρθε με μια επικόλληση. Το δεύτερο είναι ασυμφωνία ταυτότητας, όπου το μυστικό είναι σωστό αλλά η ταυτότητα που παρουσιάζει ο ομότιμος επιλέγει διαφορετική καταχώριση, οπότε το σωστό μυστικό δεν δοκιμάζεται ποτέ. Και τα δύο παράγουν την ίδια γραμμή, γι' αυτό η εικασία κοστίζει ένα απόγευμα.

Συγκρίνετε το ζεύγος πριν αγγίξετε οποιοδήποτε μυστικό. Αντιστοιχίστε τη σήραγγα, το τελικό σημείο του ομότιμου, το χρονικό παράθυρο και την απομακρυσμένη διαμόρφωση, επειδή δύο πλεονάζουσες σήραγγες μπορούν να κρατούν διαφορετικά μυστικά και η οθόνη μπροστά σας μπορεί να μην είναι αυτή που απέτυχε.

Η ανίχνευση NAT είναι διαφορετικό στάδιο

Η ανίχνευση NAT ρωτά πώς ξαναγράφονται τα πακέτα, όχι ποιος είναι ο ομότιμος. Μια πύλη πελάτη πίσω από NAT εξακολουθεί να ταυτοποιείται σωστά όταν η διαμορφωμένη ταυτότητά της είναι αυτή που περιμένει ο ομότιμος, και ένα πρόβλημα NAT εμφανίζεται ως ασυμφωνία πρότασης ή θύρας αντί για αποτυχημένη σύγκριση ελέγχου ταυτότητας.

Μη μεταφέρετε μια παλιά δήλωση για μια έκδοση προμηθευτή σε τρέχουσα ανάπτυξη. Ό,τι απαιτεί η διέλευση NAT στην έκδοσή σας ανήκει στη δική της τεκμηρίωση, και η φράση MAC mismatch δεν είναι απόδειξη υπέρ ή κατά.

Αποφασίστε από το ζεύγος, όχι από την οθόνη

Διαβάστε και τις δύο διαμορφώσεις δίπλα-δίπλα με το μυστικό κρυμμένο και μετά κάντε τρεις ερωτήσεις. Είναι η ταυτότητα σε κάθε πλευρά ακριβώς αυτό που περιμένει η άλλη, χαρακτήρα προς χαρακτήρα; Χρησιμοποιούν και τα δύο άκρα την ίδια έκδοση IKE και την ίδια μέθοδο ελέγχου ταυτότητας; Αντιστοιχεί η σήραγγα που αποτυγχάνει στη διαμόρφωση που διαβάζετε; Ένα όχι σε οποιοδήποτε από αυτά καθορίζει την επισκευή χωρίς να αγγίξετε το μυστικό.

Αν και τα τρία είναι καθαρά, αντικαταστήστε το μυστικό μέσω της εγκεκριμένης ροής εργασίας αντί να επεξεργάζεστε γύρω του.

Αφού ταυτοποιηθεί ο ομότιμος

Μόλις ο έλεγχος ταυτότητας πετύχει, η επόμενη επιφάνεια αποτυχίας είναι η θυγατρική ένωση ασφαλείας: προτάσεις και επιλογείς κίνησης. Η περιστροφή ενός μυστικού που έχει ήδη γίνει δεκτό δεν μπορεί να διορθώσει θυγατρική αποτυχία και παρατείνει τη διακοπή. Διαβάστε την κατάσταση της θυγατρικής ένωσης, μετά τους επιλογείς και τις προστατευμένες περιοχές και στις δύο πλευρές, και αντιστοιχίστε την καθοδήγηση αντιμετώπισης προβλημάτων Cloud VPN με το στάδιο που απέτυχε πραγματικά.

Συσχετίστε φρέσκα αρχεία καταγραφής και από τα δύο άκρα για το ίδιο ζεύγος και το ίδιο παράθυρο. Η μία πλευρά μόνη δίνει ετυμηγορία χωρίς την είσοδο της άλλης, και αυτή είναι η ασάφεια που παρήγαγε το μήνυμα εξαρχής.

Τι να μην συμπεράνετε

Μη διαβάσετε το μήνυμα ως αίτημα αλλαγής διευθύνσεων MAC και μη δημοσιεύσετε το κοινό μυστικό όσο ζητάτε βοήθεια· ένα απόσπασμα που περιέχει το κλειδί χρειάζεται το κλειδί αφαιρεμένο, όχι το αρχείο καταγραφής διατηρημένο. Μην υποθέσετε ούτε σφάλμα δρομολόγησης, επειδή ομότιμοι που δεν μπορούν να φτάσουν ο ένας τον άλλο δεν παράγουν καθόλου σύγκριση ελέγχου ταυτότητας. Και μη γενικεύσετε ένα τεκμηριωμένο περιορισμό μιας οικογένειας προϊόντων σε κάθε υλοποίηση IPsec.

Καταγράψτε το ζεύγος που αποτυγχάνει, την κατάσταση της σήραγγας πριν και μετά, και ποια από τις δύο συνθήκες αλλάξατε. Αυτό το αρχείο κάνει την επόμενη εμφάνιση έλεγχο πέντε λεπτών.