Malsamaj MAC en IKE signifas, ke la kontrolo de la komuna ŝlosilo malsukcesis

Via Cloud VPN-protokolo montras provon kun komuna ŝlosilo sekvatan de MAC mismatched, kaj la unua instinkto ofte estas serĉi adresan problemon. En ĉi tiu branĉo MAC estas mesaĝa aŭtentikiga kodo: valoro komputita super la interŝanĝo kun la interkonsentita ŝlosilo. La kunulo komparis sian propran komputon kun la ricevita valoro, kaj ili diferencis. Neniu retkarto estas implikita, kaj neniu interfaca agordo ŝanĝas tiun komparon.

En la praktiko du kondiĉoj kaŭzas ĝin: la sekretoj ĉe la du finoj ne estas la sama valoro, aŭ la identoj uzataj por elekti la sekreton ne korespondas. Decidu kiun legante la paron, ne la unuopan tunelon.

Kion pruvas la etapo

La kontrolo ruliĝas post kiam ambaŭ flankoj interŝanĝis komencajn parametrojn kaj identigis sin. Ĝi elektas kandidatajn komunajn ŝlosilojn por la loka kaj malproksima identoj kaj provas validigi la ricevitajn aŭtentikigajn datumojn; kiam neniu validiĝas, la diagnozo estas eligita. Tio estas forta aserto pri aŭtentikigo kaj malforta pri la kaŭzo, ĉar ĝi ne diras, kiu flanko malpravas.

Antaŭa sukceso ne transiĝas al ĉi tiu kontrolo. Kompletigita IKE_SA_INIT, aŭ NAT-detekta utilŝarĝo, kiu redonis la atenditajn valorojn, pruvas, ke la kunuloj povas paroli. Ĝi pruvas nenion pri tio, ĉu ili dividas sekreton.

Du agordaj eraroj, unu mesaĝo

La unua estas reala malkongruo de la sekreto, kaj ĝi kutime estas provizad-akcidento: generita valoro instalita sur unu konzolo kaj retajpita sur la alia, fina signo, kiu postvivis sur unu flanko, aŭ citilo, kiu venis kun algluo. La dua estas malkongruo de idento, kie la sekreto estas ĝusta sed la idento, kiun la kunulo prezentas, elektas alian eron, do la ĝusta sekreto neniam estas provita. Ambaŭ produktas la saman linion, kaj tial divenado kostas posttagmezon.

Komparu la paron antaŭ ol tuŝi ajnan sekreton. Kongruigu la tunelon, la kunulan finpunkton, la tempofenestron kaj la malproksiman agordon, ĉar du redundaj tuneloj povas teni malsamajn sekretojn kaj la ekrano antaŭ vi eble ne estas tiu, kiu malsukcesis.

NAT-detekto estas alia etapo

NAT-detekto demandas, kiel pakaĵoj estas reskribitaj, ne kiu estas la kunulo. Klienta pordego malantaŭ NAT ankoraŭ aŭtentikigas ĝuste kiam ĝia agordita idento estas tiu, kiun la kunulo atendas, kaj NAT-problemo montriĝas kiel malkongruo de propono aŭ pordo anstataŭ malsukcesa aŭtentikiga komparo.

Ne portu malnovan aserton pri unu vendista eldono en aktualan deplojon. Kion NAT-trairo postulas en via eldono apartenas al ĝia propra dokumentaro, kaj la frazo MAC mismatch ne estas pruvo por aŭ kontraŭ.

Decidu laŭ la paro, ne laŭ la ekrano

Legu ambaŭ agordojn flanke unu de la alia kun la sekreto kaŝita, poste faru tri demandojn. Ĉu la idento sur ĉiu flanko estas ĝuste tio, kion la alia atendas, signo post signo? Ĉu ambaŭ finoj uzas la saman IKE-version kaj la saman aŭtentikigan metodon? Ĉu la malsukcesa tunelo korespondas al la agordo, kiun vi legas? Ne al iu ajn el ili decidas la riparon sen tuŝi la sekreton.

Se ĉiuj tri estas puraj, anstataŭigu la sekreton per la aprobita laborfluo anstataŭ redakti ĉirkaŭ ĝi.

Post kiam la kunulo aŭtentikiĝas

Post kiam la aŭtentikigo sukcesas, la sekva malsukcesa surfaco estas la filia sekureca asocio: proponoj kaj trafik-elektiloj. Rotacii sekreton jam akceptitan ne povas ripari filian malsukceson kaj ĝi longigas la interrompon. Legu la filian staton, poste la elektilojn kaj protektitajn gamojn sur ambaŭ flankoj, kaj kongruigu la gvidadon pri Cloud VPN-problemmastrumado al la etapo, kiu fakte malsukcesis.

Korelaciu freŝajn protokolojn de ambaŭ finoj por la sama paro kaj la sama fenestro. Unu flanko sola donas verdikton sen la enigo de la alia, kaj tio estas la malklareco, kiu produktis la mesaĝon komence.

Kion ne konkludi

Ne legu la mesaĝon kiel postulon ŝanĝi MAC-adresojn, kaj ne publikigu la komunan sekreton dum vi petas helpon; eltiraĵo enhavanta la ŝlosilon bezonas la ŝlosilon forigita, ne la protokolon konservita. Ankaŭ ne supozu vojimpostan fuŝon, ĉar kunuloj, kiuj ne povas atingi unu la alian, tute ne produktas aŭtentikigan komparon. Kaj ne ĝeneraligu dokumentitan limigon de unu produkta familio al ĉiu IPsec-implemento.

Skribu la malsukcesan paron, la tunelan staton antaŭ kaj post, kaj kiun el la du kondiĉoj vi ŝanĝis. Tiu registro igas la sekvan okazon kvinminuta kontrolo.