Sissetulev IPsec-peer ei vasta ühelegi profiilile? Kontrolli nelja välja

Sinu peer teatab, et tunnel on üleval, sinu pool ei näita ühtegi turvaassotsiatsiooni ja konfiguratsioonifail sisaldab selgelt sobivat ühenduse nime. Kõik kolm väidet võivad olla korraga tõesed. Sissetulev läbirääkimine vastandatakse töötava konfiguratsiooniga, kasutades peeri aadressi, tema esitatavat identiteeti ja tema pakutavat liiklust. Fail kettal, mida kunagi ei laaditud, identiteet, mis ei vasta oodatud väärtusele, või selektorite paar, mis on ühe prefiksi võrra nihkes — igaüks neist tekitab vaikuse. Käi neli väljagruppi läbi samas järjekorras, mida järgib vastaja.

Alusta paketist, mitte failist

Vastaja saab IKE-päringu, otsib definitsiooni, mis suudab selle peeri vastu võtta, ja jätkab seejärel autentimise ning liikluse valikuga. Kui esimeses etapis ei sobi ükski laaditud definitsioon, lõpeb läbirääkimine enne, kui kasutajani jõuab mingi kasulik viga.

Seepärast ei ole „konfiguratsioon näeb õige välja“ tõestus. Küsimus on, mida töötav teenus on laadinud ja millise kirje see selle katse jaoks valis. Olekuloend vastab sellele ühe käsuga, samal ajal kui redaktori puhver vastab teisele küsimusele. Kontrolli loendit enne, kui faili uuesti muudad.

Esimene väljagrupp: definitsioon, mis on tegelikult laaditud

Kontrolli töötavat olekut tööriistaga, mis deemonit omab: olekukäsk, mis loetleb laaditud ühendused, mitte redaktori puhver. Kinnita, et oodatud kirje on olemas, on soovitud käivituskäitumise jaoks lubatud ja laaditi pärast sinu viimast muudatust. Salvestatud fail, mida ei ole uuesti laaditud, on kõige tavalisem põhjus lausele „parandasin selle ära ja midagi ei muutunud“.

Kinnita ka, millist faili teenus loeb. Distributsioonid erinevad ja valesse kaasamisse kirjutatud ühendus jäetakse vaikselt tähelepanuta, mitte ei lükata tagasi. Kui olekuloend ei näita sinu kirjet üldse, kahtlusta kaasamise teed enne süntaksit.

Teine väljagrupp: lõpp-punktid ei ole identiteedid

Aadress, kust peer ühendub, ja identiteet, millega ta autendib, on eraldi väljad. Hostinimi, eristusnimi, võtme-ID ja aadress võivad kõik konfiguratsioonist sõltuvalt IKE-identiteedina toimida ning need ei pea üldse avaliku aadressi moodi välja nägema.

Lõpp-punktide sobitamine võib hõlmata ka NAT-vaadet: võrgus nähtav aadress võib erineda aadressist, mille peer arvab endal olevat. libreswani ühenduste mudelis on left ja right kahe osaleja sildid, mitte fikseeritud kohaliku ja kaugema järjekord, mistõttu töötava konfiguratsiooni kopeerimine teisest saidist koos aadresside vahetamisega ei ole usaldusväärne tõlge.

Kirjuta üles mõlema poole oodatud identiteet ja seda valideeriv volitus. Kui need kaks rida ei ühti, ei anna ükski aadresside timmimise kogus sobivust.

Kolmas väljagrupp: liiklus, mida kaitstakse

Selektorid kirjeldavad sisemisi allika- ja sihtvahemikke, nende aadressiperekonda ning mis tahes protokolli- või pordipiirangut. Ühe hosti aadressi jaoks tehtud ettepanek ei ole sama päring kui terve alavõrgu jaoks, ja alavõrgu jaoks seadistatud vastaja võib selle tagasi lükata või kitsendada.

Kui kaks otsa ei nõustu, võrdle kavatsetud voogu mõlemast vaatenurgast, selle asemel et iga selektorit laiendada, et midagi ühenduks. Küsi igalt administraatorilt, millist voogu ta arvab end kaitsvat, ja võrdle siis kahte vastust. Lahknevus on tavaliselt ühel pool hosti prefiks ja teisel alavõrk. Tunnel, mis sobib seetõttu, et kaitseb nüüd kõike, on teistsugune turvaotsus ja selline, mida keegi ei kinnitanud.

Neljas väljagrupp: sa loed üht implementatsiooni

Libreswanil, vanemal Openswani ja strongSwanil on erinevad haldusriistad, erinev konfiguratsioonisüntaks ja erinev sobitamisjärjekord. Ühe toimiv näide ei ütle teise profiilivaliku prioriteedi ega veasõnastuse kohta midagi täpset, seega kontrolli selle hosti deemoni dokumentatsiooniga.

Korreleeri üks katse algusest lõpuni: algataja lähteaadress, pakutud identiteet ja pakutud selektorid — vastaja valikusõnumi ja selle nimetatud laaditud kirjega. Nullilised kapseldamise ja dekapseldamise loendurid ütlevad ainult, et vaadeldud assotsiatsioonid ei ole neid pakette kandnud; need ei nimeta lõpp-punkti, mis ettepaneku tagasi lükkas, ega tõesta, et sel hetkel oli olemas sobiv kirje.

Pärast koordineeritud parandust kinnita valitud profiil ja assotsiatsioon ning seejärel proovi tegelikult lubatud teenust ja selle vastusteekonda. Profiili sobivus võimaldab läbirääkimist ja läbirääkimine ei ole viimane juurdepääsukontroll.