Kvin adresaj roloj en IPsec-profilo, kaj kiu el ili estas malĝusta
Fina punkto, identeco, protektita subreto, pordega fonto kaj sekva salto ĉiu respondas al malsama demando. Unue kongruigu la simptomon kun la kampo.
Kvin malsamaj taskoj ricevas adreson en tipa konekta difino, kaj ili ne devas kongrui unu kun la alia. Administrantoj blokiĝas ĉar saĝa instinkto, igi ĉiujn kampojn montri al la sama gastiganto, estas malĝusta por almenaŭ tri el ili. La eliro estas unue nomi la simptomon kaj poste rigardi la unu aŭ du kampojn, kiuj povus ĝin kaŭzi.
La kvin taskoj, en la ordo laŭ kiu ili gravas
La transporta finpunkto estas kie la IKE-interŝanĝo estas liverata. La aŭtentigita identeco estas la nomo, kiun ĉiu flanko pruvas, kaj ĝi estas kontrolata kontraŭ politiko, ne kontraŭ enkursiga tabelo. La protektitaj subretoj estas la selektiloj, kiuj decidas, kiu interna trafiko apartenas al la tunelo. Poste estas la fonto uzata kiam la pordego mem komencas konversacion, kaj finfine la sekva salto de la suba tavolo por atingi la samtavolulon.
Partoprenantaj etikedoj kiel left kaj right estas konvencioj por la du flankoj de konekto, ne sinonimoj por loka kaj malproksima. Legu la manlibron de la efektive instalita realigo antaŭ ol supozi, ke ŝlosilo signifas tion, kion alia produkto celis per ĝi.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Decido unua: nenio establiĝas
Kiam tute neniu interŝanĝo aperas en la protokoloj, la finpunkto estas la unua suspektato: malĝusta adreso, filtrita vojo aŭ interfaco, sur kiu la demono ne aŭskultas. Transiru al la identecaj kampoj nur post kiam manpremo videblas, ĉar identeco estas juĝata ene de la interŝanĝo, ne antaŭ ĝi. Filtrita vojo kaj malĝusta adreso aspektas identaj de la kliento, do kontrolu la aŭskultantan flankon antaŭ ol redakti ion ajn. Konfirmu, ke la demono estas ligita al la interfaco, kiun vi atendas, ĉar servo aŭskultanta sur unu adreso aspektas ĝuste kiel blokita vojo.
Publika adreso observata tra tradukado ne estas la sama afero kiel la identeco, kiun samtavolulo pruvas. Ŝanĝi adreson por kongrui kun tio, kion pakaĵkaptado montras ĉe la malproksima fino, estas ofta kaj malĝusta korekto.
Decido dua: la tunelo estas supren kaj la trafiko mortas
Selektiloj decidas, kio eniras la tunelon, kaj malkongruo ĉi tie produktas konekton, kiu sukcese intertraktas dum la aplikaĵo ankoraŭ fiaskas. La malproksima flanko devas nomi vian protektitan gamon kiel sian malproksiman gamon, kaj ĝuste tie enŝteliĝas inversigitaj valoroj.
Legu ambaŭ agordojn unu apud la alia antaŭ ol redakti. La loka gamo sur unu gastiganto estas la malproksima gamo sur la alia, kaj unu sola interŝanĝita paro klarigas tunelon, kiu portas nenion. Mallarĝigu la paron antaŭ ol tuŝi la ŝlosilojn: unu subreto ene de la tunelo kaj unu ekstere diras al vi, ĉu la selektilo aŭ la enkursigado kulpas.
Decido tria: nur la propra trafiko de la pordego fiaskas
Trafiko plusendita por klientoj povas perfekte funkcii dum peto, kiun la pordego mem komencas, fiaskas, ĉar tiu fluo ne havas klientan fonton por heredi. La agordo de preferata fonto ekzistas ĝuste por tiu kazo, kaj ĝi ne estas fonta tradukado: ĝi elektas fontan adreson anstataŭ reverki unu.
Aplikaĵo, kiu eksplicite ligas alian adreson, povas superregi la preferon, do konfirmu la faktan fonton de la pakaĵo antaŭ ol konkludi, ke la agordo estas ignorata. Kaptu sur la propra interfaco de la pordego anstataŭ fidi la intencon de la agordo.
La sekva salto estas loka instrukcio
La sekva salto de la suba tavolo diras al ĉi tiu gastiganto, kiel atingi la samtavolulon, kaj la malproksima flanko ne bezonas la saman valoron. Trakti ĝin kiel komunan agordon aŭ malmole kodigi defaŭltan pordegon rompiĝas en la momento, kiam la vojo ŝanĝiĝas aŭ dua vojo aperas.
Kelkaj realigoj proponas specialajn valorojn ĉi tie. Kion la manlibro listigas por la instalita versio, estas la sola sekura respondo, kaj la loka enkursiga tabelo estas la pruvo, ke ĝi funkciis. Kiam samtavolulo estas atingebla laŭ nomo sed ne laŭ adreso, tiu malkongruo estas la trovo, ne detalo preterirenda.
Legu la profilon de ambaŭ finoj
Inversigi la rolojn sur papero estas la plej rapida revizio, kiu ekzistas: interŝanĝu la protektitajn gamojn, konservu la propran sekvan salton de ĉiu flanko kaj la propran identecon de ĉiu flanko. Ĉio, kio ne postvivas la interŝanĝon, probable estas atribuita al la malĝusta tasko.
Poste testu unu fluon por rolo: atingeblo inter samtavoluloj, interna klienta fluo kaj peto originanta el la pordego. Tri testoj diras al vi, kiu tasko estas malĝuste atribuita sen malfermi la agordon denove. Aldonu la rezulton al la bileto apud la kampo, kiun vi ŝanĝis, ĉar la sekva inĝeniero renkontos la saman profilon.