MAC ei klapi IKE-s, mis tähendab, et ühise võtme kontroll ebaõnnestus

Teie Cloud VPN-i logi näitab ühise võtmega katset, millele järgneb MAC mismatched, ja esimene instinkt on sageli otsida aadressiprobleemi. Selles harus on MAC sõnumi autentimiskood: väärtus, mis arvutatakse üle läbiräägitud võtmega toimuva vahetuse. Vastaspool võrdles oma arvutust saadud väärtusega ja need erinesid. Võrgukaart ei ole kaasatud ja ükski liidese säte ei muuda seda võrdlust.

Praktikas tekitavad seda kaks tingimust: kahe otsa saladused ei ole sama väärtus või saladuse valimiseks kasutatavad identiteedid ei vasta üksteisele. Otsustage, milline neist, lugedes paari, mitte üksikut tunnelit.

Mida etapp tõestab

Kontroll käivitub pärast seda, kui mõlemad pooled on vahetanud algparameetrid ja end identifitseerinud. See valib kohaliku ja kaugidentiteedi jaoks kandidaat-ühisvõtmed ja üritab valideerida saadud autentimisandmeid; kui ükski ei valideeru, väljastatakse diagnostika. See on tugev väide autentimise kohta ja nõrk põhjuse kohta, sest see ei ütle, milline pool on vale.

Varasem edu ei kandu sellesse kontrolli. Lõpetatud IKE_SA_INIT või NAT-tuvastuse kandevõime, mis tagastas oodatud väärtused, tõestab, et vastaspooled saavad rääkida. See ei tõesta midagi selle kohta, kas nad jagavad saladust.

Kaks konfiguratsiooniviga, üks teade

Esimene on tegelik saladuse lahknevus ja tavaliselt on see ettevalmistusõnnetus: genereeritud väärtus, mis paigaldati ühele konsoolile ja trükiti teisele uuesti, ühel poolel ellu jäänud lõpumärk või kleepimisega kaasa tulnud jutumärk. Teine on identiteedi lahknevus, kus saladus on õige, kuid vastaspoole esitatav identiteet valib teise kirje, nii et õiget saladust ei proovita kunagi. Mõlemad annavad sama rea, mistõttu arvamine maksab pärastlõuna.

Võrrelge paari enne mis tahes saladuse puudutamist. Sobitage tunnel, vastaspoole lõpp-punkt, ajavahemik ja kaugkonfiguratsioon, sest kaks üleliigset tunnelit võivad hoida erinevaid saladusi ja teie ees olev ekraan ei pruugi olla see, mis ebaõnnestus.

NAT-tuvastus on teine etapp

NAT-tuvastus küsib, kuidas pakette ümber kirjutatakse, mitte kes on vastaspool. NAT-i taga olev kliendi lüüs autentib endiselt õigesti, kui selle konfigureeritud identiteet on see, mida vastaspool ootab, ja NAT-probleem ilmub pigem ettepaneku või pordi lahknevusena kui ebaõnnestunud autentimisvõrdlusena.

Ärge kandke vana väidet ühe tarnija väljalaske kohta praegusesse juurutusse. Mida NAT-i läbimine teie väljalaskes nõuab, kuulub selle enda dokumentatsiooni, ja fraas MAC mismatch ei ole tõend poolt ega vastu.

Otsustage paari, mitte ekraani järgi

Lugege mõlemat konfiguratsiooni kõrvuti peidetud saladusega ja esitage seejärel kolm küsimust. Kas identiteet kummalgi poolel on täpselt see, mida teine ootab, märk märgi haaval? Kas mõlemad otsad kasutavad sama IKE versiooni ja sama autentimismeetodit? Kas ebaõnnestuv tunnel vastab konfiguratsioonile, mida loete? Ei ükskõik millisele neist otsustab paranduse ilma saladust puudutamata.

Kui kõik kolm on puhtad, asendage saladus kinnitatud töövoo kaudu, selle asemel et selle ümber redigeerida.

Pärast seda, kui vastaspool autendib

Kui autentimine õnnestub, on järgmine tõrkepind tütar-turvaassotsiatsioon: ettepanekud ja liikluselektorid. Juba aktsepteeritud saladuse pööramine ei saa tütartõrget parandada ja pikendab katkestust. Lugege tütarolekut, seejärel valikuid ja kaitstud vahemikke mõlemal poolel, ja sobitage Cloud VPN-i tõrkeotsingu juhised etapiga, mis tegelikult ebaõnnestus.

Korreleerige värskeid logisid mõlemast otsast sama paari ja sama ajavahemiku jaoks. Üks pool üksi annab otsuse ilma teise poole sisendita, ja just see mitmetähenduslikkus tekitas teate algselt.

Mida mitte järeldada

Ärge lugege teadet nõudena muuta MAC-aadresse ja ärge avaldage ühist saladust, kui abi küsite; võtit sisaldav väljavõte vajab võtme eemaldamist, mitte logi hoidmist. Ärge eeldage ka marsruutimisviga, sest vastaspooled, kes ei saa teineteiseni jõuda, ei tekita üldse autentimisvõrdlust. Ja ärge üldistage ühe tootepere dokumenteeritud piirangut igale IPsec-i teostusele.

Registreerige ebaõnnestuv paar, tunneli olek enne ja pärast ning kumb kahest tingimusest te muutsite. See kirje muudab järgmise juhtumi vieminutiliseks kontrolliks.