Kui IKEv2 tagastab TS_UNACCEPTABLE, võrrelge tegelikke alamsuvõrke

Lugege TS_UNACCEPTABLE'i katvuse lahkhelina, mitte rikutud profiilina. Lüüs ütleb, et kaks vastaspoolt ei suutnud kokku leppida, milliseid aadresse see tunnel tohib kanda. IKE SA võib sel hetkel juba püsti olla, mistõttu klient võib paista ühendatud, ilma et taga oleks ühtegi laps-SA-d. Kui seda nii raamistada, muutub töö mehaaniliseks. Kirjutage üles mõlema poole kavatsetud prefiksid, võrrelge neid ühes suunas ja kitsendage, kuni need lõikuvad.

Kõigepealt kirjutage kavatsetud paarid üles

Enne konfiguratsiooni puutumist loetlege neli väärtust: algataja lähtevahemik, selle sihtvahemik ja sama paar vastaja vaatepunktist. Märkige üles ka igaühe aadressiperekond. IPv4 vahemik ja IPv6 vahemik on erinevad valijatüübid ja kumbagi ei saa teise kasulikku koormusse voltida.

Lisage kõik protokolli- või pordipiirangud, mida poliitika kannab. Reegel, mis lubab ainult TCP 445 failiserverisse, kirjeldab kitsamat hulka kui alamsuvõrk, milles see asub. Kui jätate selle märkmetest välja, tundub läbirääkimise tulemus vastuolulisena põhjustel, mida te ei näe.

Pöörake sildid ümber enne nende võrdlemist

Kohalik ja kaug on suhtelised sildid. Kliendi kohalik prefiks on lüüsi kaugvahemik ja lüüsi kohalik vahemik on kliendi kaugvahemik. Seetõttu ei klapi kahest otsast tehtud ekraanipildid kunagi ja nende sõnasõnaline võrdlemine on tavaline viis pärastlõuna kaotada.

Vastaja võib pakkumise kitsendada vastuvõetavaks alamhulgaks, selle asemel et see tagasi lükata. See tulemus on hullem kui puhas ebaõnnestumine, sest see töötab poolikult. Küsige 10.0.0.0/16, kui poliitika lubab 10.0.5.0/24, ja võite lõpetada laps-SA-ga, mis katab ainult selle /24. Üks host vastab, kõik muu jääb väljapoole ja miski kliendis ei ütle seda. Lugege vastuvõetud valijaid, mitte küsitud, enne kui järeldate, et läbirääkimine õnnestus.

Vaikimisi marsruuti küsivad road warrior profiilid maanduvad siin pidevalt. Jagatud juurdepääsu jaoks ehitatud lüüs kitsendab täisvahemiku pakkumise oma alamsuvõrkudele ja klient peab kitsendatud tulemuse vastu võtma või valjult ebaõnnestuma.

Lugege keeldumist ühest katsest

Koguge mõlemad logid samast ühenduskatsest. Salvestatud profiil näitab, mida te konfigureerisite, mitte mida pakuti, ja strongSwanis prindib swanctl --log vastuvõetud teate koos valijatega, mida see kandis.

Seejärel uurige, mis tegelikult paigaldati. swanctl --list-sas näitab laps-SA valijaid ja ip xfrm policy näitab samu vahemikke tuuma poliitikakirjetena. Laps-SA selles loendis valijatega, mida te ei kavatsenud, on kitsendamissündmus; laps-SA puudumine pluss TS_UNACCEPTABLE logis on keeldumine.

Kuni olete seal, eraldage lähinaabrid. INVALID_SELECTORS kurdab valija üle kehtestatud laps-SA sees, samas kui INTERNAL_ADDRESS_FAILURE tähendab, et vastaja ei saanud virtuaalaadressi eraldada, mis on basseini, mitte katvuse probleem.

Kontrollige, mis hulka vaikselt vähendab

Kolm asja vähendavad valijate hulka midagi ütlemata. Vastaja poliitika on esimene: alamsuvõrkude loendid, gruppireeglid või kasutajapõhine autoriseerimine, mis taandavad pakkumise alamhulgaks. Aadressiperekond on teine: kahe pinu klient pakub sageli IPv6-t IPv4 kõrval ja saab keeldumise vahemikele, mida lüüs kunagi ei konfigureerinud.

Protokolli- ja pordipiirangud on kolmas. Kus poliitika lubab ainult TCP 445, võib laps-SA püsti tõusta, samal ajal kui ICMP ja UDP jäävad sellest välja, ja kasutaja teatab katkisest tunnelist, kuigi lubatud oli ainult üks protokoll.

Seetõttu ei saa ainuüksi aadresside laiendamine pordiga piiratud poliitikat parandada, ja just see juhtum jääb kolme tõrkeotsinguringi järel kõige tõenäolisemalt muutumatuks.

Tõestage katvust sobiva liiklusega

Pärast laps-SA paigaldamist saatke üks päring, mis kindlasti langeb vastuvõetud vahemike sisse. Jälgige loendureid, mitte olekuikooni: ip -s xfrm state ja ip xfrm policy taga olevad loendurid suurenevad, kui pakett sobitatakse ja kaitstakse. Nulle jääv baidiarv pärast tõelist liiklust tähendab, et tuum ei valinud seda poliitikat kunagi.

See null on marsruutimise või poliitikajärjekorra probleem, mitte krüpto probleem. See näeb kasutaja kohalt välja täpselt nagu valija keeldumine, mistõttu loendurid tasub enne profiili uuesti avamist koguda. Ainult ühes suunas kasvavad loendurid osutavad hoopis tagasiteele.

Lõpetage nii, et kirjutate vastuvõetud paari piletisse, algselt küsitud vahemiku kõrvale. Hoidke valik nii kitsas, kui nõue lubab, sest vea kõrvaldamine privaatse vahemiku asendamisega kõigi aadressidega annab palju rohkem juurdepääsu, kui kontole kinnitati.