Ĉu alvenanta IPsec-kunulo ne kongruas kun iu profilo? Kontrolu kvar kampojn

Via kunulo raportas, ke la tunelo suprenas, via flanko montras neniun sekurecan asociadon, kaj la agorda dosiero klare enhavas kongruan konektan nomon. Ĉiuj tri asertoj povas samtempe veri. Alvenanta intertraktado estas komparata kun la kuranta agordo, laŭ la adreso de la kunulo, la identeco, kiun ĝi prezentas, kaj la trafiko, kiun ĝi proponas. Dosiero sur la disko, kiu neniam estis ŝargita, identeco, kiu ne kongruas kun la atendata valoro, aŭ paro da selektiloj mislokitaj je unu prefikso — ĉiu el ili produktas silenton. Trairu la kvar kampogrupojn laŭ la ordo, kiun sekvas la respondanto.

Komencu ĉe la paketo, ne ĉe la dosiero

La respondanto ricevas IKE-peton, serĉas difinon, kiu povas akcepti ĉi tiun kunulon, kaj poste daŭrigas kun aŭtentigo kaj elekto de trafiko. Se en la unua paŝo neniu ŝargita difino kongruas, la intertraktado finiĝas antaŭ ol iu utila eraro atingas la uzanton.

Tial «la agordo aspektas ĝusta» ne estas pruvo. La demando estas, kion la kuranta servo ŝargis kaj kiun rikordon ĝi elektis por ĉi tiu provo. Statlista eligo respondas tion per unu komando, dum la bufro de redaktilo respondas alian demandon. Kontrolu la liston antaŭ ol vi denove ŝanĝi la dosieron.

Unua kampogrupo: la difino, kiu efektive estas ŝargita

Kontrolu la kurantan staton per la ilo, kiu posedas la demonon: statkomando, kiu listigas ŝargitajn konektojn, ne la bufro de redaktilo. Konfirmu, ke la atendata rikordo ĉeestas, estas ebligita por la starta konduto, kiun vi celas, kaj estis ŝargita post via lasta redakto. Konservita dosiero, kiu ne estis reŝargita, estas la plej ofta kaŭzo de «mi riparis ĝin kaj nenio ŝanĝiĝis».

Konfirmu ankaŭ, kiun dosieron la servo legas. Distribuoj diferenciĝas, kaj konekto skribita en la malĝustan inkludon estas silente ignorata anstataŭ malakceptata. Se la statlisto tute ne montras vian rikordon, suspektu la inkludan vojon antaŭ ol suspekti la sintakson.

Dua kampogrupo: finpunktoj ne estas identecoj

La adreso, de kiu la kunulo konektiĝas, kaj la identeco, per kiu ĝi aŭtentiĝas, estas apartaj kampoj. Gastnomo, distinga nomo, ŝlosila identigilo kaj adreso ĉiuj povas servi kiel IKE-identeco laŭ la agordo, kaj ili tute ne devas aspekti kiel la publika adreso.

Finpunkta kongruigo povas ankaŭ impliki NAT-vidon: la adreso vidata en la reto povas diferenci de la adreso, kiun la kunulo kredas havi. En la konekta modelo de libreswan, left kaj right estas etikedoj por la du partoprenantoj, ne fiksa ordo de loka kaj fora, kaj tial kopii funkciantan agordon de alia ejo kaj interŝanĝi la adresojn ne estas fidinda traduko.

Notu la atendatan identecon de ambaŭ flankoj kaj la legitimilon, kiu validigas ĝin. Se tiuj du linioj malkongruas, neniu kvanto da adresa agordado produktos kongruon.

Tria kampogrupo: la trafiko, kiu estas protektata

Selektiloj priskribas la internajn fontajn kaj celajn gamojn, ilian adresan familion, kaj ajnan protokolan aŭ pordan limigon. Propono por adreso de unu gasto ne estas la sama peto kiel por tuta subreto, kaj respondanto agordita por la subreto povas malakcepti aŭ mallarĝigi ĝin.

Kiam la du finoj malkongruas, komparu la intencitan fluon el ambaŭ vidpunktoj anstataŭ larĝigi ĉiun selektilon por ke io konektiĝu. Demandu ĉiun administranton pri la fluo, kiun li kredas protekti, poste komparu la du respondojn. La malkongruo kutime estas gastprefikso ĉe unu flanko kaj subreto ĉe la alia. Tunelo, kiu kongruas ĉar ĝi nun protektas ĉion, estas alia sekureca decido, kaj unu, kiun neniu aprobis.

Kvara kampogrupo: vi legas unu realigon

Libreswan, pli malnova Openswan kaj strongSwan havas malsamajn administrajn ilojn, malsaman agordan sintakson kaj malsaman kongruigan ordon. Funkcianta ekzemplo el unu diras nenion precizan pri la profila elekta prioritato aŭ la erara vortumo de alia, do kontrolu per la dokumentaro por la demono sur ĉi tiu gasto.

Korelaciu unu provon de komenco ĝis fino: la fontan adreson de la iniciatinto, la ofertitan identecon kaj la proponitajn selektilojn — kontraŭ la elekta mesaĝo de la respondanto kaj la ŝargita rikordo, kiun ĝi nomas. Nulaj enkapsuligaj kaj malenkapsuligaj nombriloj nur diras, ke la observitaj asociadoj ne portis tiujn pakojn; ili ne nomas la finpunkton, kiu malakceptis la proponon, nek pruvas, ke kongrua rikordo ekzistis en tiu momento.

Post kunordigita korekto konfirmu la elektitan profilon kaj asociadon, poste provu la efektive permesitan servon kaj ĝian respondan vojon. Profila kongruo ebligas intertraktadon, kaj intertraktado ne estas la lasta alirkontrolo.