Viis aadressirolli IPseci profiilis ja milline neist on vale
Lõpp-punkt, identiteet, kaitstud alavõrk, lüüsi lähteaadress ja järgmine hüpe vastavad igaüks eri küsimusele. Sobitage sümptom kõigepealt väljaga.
Tüüpilises ühenduse definitsioonis saab aadressi viis eri ülesannet ja need ei pea omavahel kokku langema. Administraatorid jäävad hätta, sest mõistlik instinkt, suunata kõik väljad samale hostile, on vähemalt kolme puhul vale. Väljapääs on kõigepealt sümptom nimetada ja seejärel vaadata üht või kahte välja, mis võiksid selle põhjustada.
Viis ülesannet tähtsuse järjekorras
Transpordi lõpp-punkt on koht, kuhu IKE vahetus toimetatakse. Autenditud identiteet on nimi, mille kumbki pool tõestab, ja seda kontrollitakse poliitika, mitte marsruutimistabeli vastu. Kaitstud alavõrgud on valijad, mis otsustavad, milline sisemine liiklus tunnelisse kuulub. Seejärel on allikas, mida kasutatakse siis, kui lüüs ise vestlust alustab, ja lõpuks aluskihi järgmine hüpe partnerini jõudmiseks.
Osalejate sildid nagu left ja right on kahe ühenduse poole kokkulepped, mitte kohaliku ja kaugema sünonüümid. Lugege paigaldatud teostuse käsiraamatut enne, kui eeldate, et võti tähendab seda, mida teine toode selle all mõtles.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Otsus esimene: midagi ei püstitu
Kui logides ei ilmu üldse ühtki vahetust, on lõpp-punkt esimene kahtlusalune: vale aadress, filtreeritud tee või liides, millel deemon ei kuula. Identiteediväljadele liikuge alles siis, kui käepigistus on nähtav, sest identiteeti hinnatakse vahetuse sees, mitte enne seda. Filtreeritud tee ja vale aadress näevad kliendi poolelt identsed välja, seega kontrollige kuulavat poolt enne millegi muutmist. Kinnitage, et deemon on seotud liidesega, mida ootate, sest ühel aadressil kuulav teenus näeb välja täpselt nagu blokeeritud tee.
Tõlke kaudu vaadeldud avalik aadress ei ole sama asi kui identiteet, mida partner tõestab. Aadressi muutmine, et see vastaks sellele, mida paketikütt kaugemas otsas näitab, on tavaline ja vale parandus.
Otsus teine: tunnel on üleval ja liiklus sureb
Valijad otsustavad, mis tunnelisse läheb, ja siinne lahknevus annab ühenduse, mis läbiräägib edukalt, samal ajal kui rakendus ikka ebaõnnestub. Kaugpool peab teie kaitstud vahemikku nimetama oma kaugvahemikuks, ja just sinna poetuvad ümberpööratud väärtused.
Lugege mõlemat konfiguratsiooni kõrvuti enne muutmist. Ühe hosti kohalik vahemik on teise kaugvahemik, ja üksainus vahetatud paar seletab tunnelit, mis ei kanna midagi. Kitsendage paari enne võtmete puutumist: üks alavõrk tunnelis sees ja üks väljas ütleb teile, kas süüdi on valija või marsruutimine.
Otsus kolmas: ainult lüüsi enda liiklus ebaõnnestub
Klientide eest edasi suunatud liiklus võib töötada laitmatult, samal ajal kui lüüsi enda algatatud päring ebaõnnestub, sest sellel voolul pole kliendi lähtekohta, mida pärida. Eelistatud lähteaadressi säte on just selle juhtumi jaoks ja see ei ole lähteaadressi tõlge: see valib lähteaadressi, mitte ei kirjuta seda ümber.
Rakendus, mis seob selgesõnaliselt teise aadressi, võib eelistuse üle kirjutada, seega kinnitage paketi tegelik lähtekoht enne, kui järeldate, et säte on tähelepanuta jäetud. Püüdke kinni lüüsi enda liidesel, mitte ei usaldage konfiguratsiooni kavatsust.
Järgmine hüpe on kohalik juhis
Aluskihi järgmine hüpe ütleb sellele hostile, kuidas partnerini jõuda, ja kaugpoolel pole sama väärtust vaja. Selle käsitlemine jagatud sättena või vaikelüüsi kõvakodeerimine puruneb hetkel, mil marsruut muutub või ilmub teine tee.
Mõned teostused pakuvad siin eriväärtusi. See, mida käsiraamat paigaldatud versiooni jaoks loetleb, on ainus ohutu vastus, ja kohalik marsruutimistabel on tõend, et see töötas. Kui partner on kättesaadav nime, kuid mitte aadressi järgi, on see lahknevus leid, mitte üksikasjalik möödaminek.
Lugege profiili mõlemast otsast
Rollide pööramine paberil on kiireim ülevaatus, mis olemas: vahetage kaitstud vahemikud, jätke kummagi poole oma järgmine hüpe ja kummagi poole oma identiteet. Kõik, mis vahetust ei ületa, on tõenäoliselt määratud valele ülesandele.
Seejärel katsetage üht voolu rolli kohta: partneritevaheline kättesaadavus, sisemine kliendivool ja lüüsist algav päring. Kolm katset ütlevad, milline ülesanne on valesti määratud, ilma konfiguratsiooni uuesti avamata. Lisage tulemus pileti juurde muudetud välja kõrvale, sest järgmine insener kohtub sama profiiliga.