Bost helbide-rol IPsec profil batean, eta zein dagoen gaizki
Amaiera-puntua, identitatea, azpisare babestua, atebidearen iturria eta hurrengo jauzia galdera desberdin bati erantzuten dio bakoitzak. Lehenik sintoma eremuarekin parekatu.
Bost lan desberdinek helbide bat jasotzen dute konexio-definizio tipiko batean, eta ez dute elkarrekin bat etorri behar. Administratzaileak trabatzen dira, sen oneko bulkada batek, eremu guztiak host berberera zuzentzeak, gutxienez hirurentzat balio ez duelako. Irtenbidea sintoma lehenik izendatzea da, eta gero hura sor dezaketen eremu bat edo bi begiratzea.
Bost lanak, garrantziaren araberako ordenan
Garraioko amaiera-puntua IKE trukea entregatzen den lekua da. Autentifikatutako identitatea alde bakoitzak frogatzen duen izena da, eta politika baten aurka egiaztatzen da, ez bideratze-taularen aurka. Azpisare babestuak tunelean sartzen den barne-trafikoa erabakitzen duten hautatzaileak dira. Ondoren atebideak berak elkarrizketa hasten duenean erabiltzen den iturria dago, eta azkenik parekoa iristeko azpiko geruzaren hurrengo jauzia.
left eta right bezalako partaide-etiketak konexio baten bi aldeen konbentzioak dira, ez lokalaren eta urrunekoaren sinonimoak. Irakurri benetan instalatuta dagoen inplementazioaren eskuliburua, gako batek beste produktu batek harekin esan nahi zuena adierazten duela suposatu aurretik.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Lehen erabakia: ezer ez da ezartzen
Erregistroetan inolako trukerik agertzen ez denean, amaiera-puntua da lehen susmagarria: helbide okerra, iragazitako bidea edo daemonak entzuten ez duen interfaze bat. Identitate-eremuetara joan soilik eskuko keinua ikusgai dagoenean, identitatea trukearen barruan epaitzen delako, ez aurretik. Iragazitako bideak eta helbide okerrak berdinak dirudite bezeroaren aldetik, beraz egiaztatu entzuten ari den aldea ezer editatu aurretik. Berretsi daemonak espero duzun interfazera lotuta dagoela, helbide batean entzuten duen zerbitzuak bide blokeatu baten itxura zehatza baitu.
Itzulpenean zehar ikusitako helbide publiko bat ez da pareko batek frogatzen duen identitatea bera. Helbide bat aldatzea urruneko muturrean pakete-kapturak erakusten duenarekin bat etor dadin ohiko zuzenketa okerra da.
Bigarren erabakia: tunela altxatuta dago eta trafikoa hiltzen da
Hautatzaileek erabakitzen dute zer sartzen den tunelean, eta hemen bat ez etortzeak arrakastaz negoziatzen duen konexioa sortzen du, aplikazioak huts egiten jarraitzen duen bitartean. Urruneko aldeak zure tarte babestua bere tarte urruntzat izendatu behar du, eta hantxe sartzen dira alderantzikatutako balioak.
Irakurri bi konfigurazioak elkarren ondoan editatu aurretik. Host bateko tarte lokala bestearen tarte urruna da, eta trukatutako bikote bakar batek ezer eramaten ez duen tunela azaltzen du. Estutu bikotea gakoei heldu aurretik: tuneleko azpisare bat eta kanpoko bat zein den errudun, hautatzailea edo bideratzea, esaten dizute.
Hirugarren erabakia: atebidearen beraren trafikoak soilik huts egiten du
Bezeroentzat birbidalitako trafikoak primeran funtziona dezake atebideak berak hasten duen eskaerak huts egiten duen bitartean, fluxu horrek ez baitu heredatzeko bezero-iturririk. Iturri hobetsiaren ezarpena kasu honetarako dago, eta ez da iturriaren itzulpena: iturri-helbide bat aukeratzen du, bat berridatzi ordez.
Beste helbide bat espresuki lotzen duen aplikazio batek hobespena gaindi dezake, beraz berretsi paketearen benetako iturria ezarpena ezikusi egiten zaiola ondorioztatu aurretik. Hartu kaptura atebidearen beraren interfazean, konfigurazioaren asmoan fidatu ordez.
Hurrengo jauzia tokiko argibidea da
Azpiko geruzaren hurrengo jauziak host honi parekora nola iritsi esaten dio, eta urruneko aldeak ez du balio bera behar. Ezarpen partekatu gisa tratatzeak, edo atebide lehenetsi bat gogor kodetzeak, bideak aldatzen duen edo bigarren bide bat agertzen den unean hausten da.
Inplementazio batzuek balio bereziak eskaintzen dituzte hemen. Eskuliburuak instalatutako bertsiorako zerrendatzen duena da erantzun seguru bakarra, eta tokiko bideratze-taulak funtzionatu zuen froga da. Parekoa izenez iristeko modukoa baina helbidetik ez denean, desadostasun hori da aurkikuntza, ez saihesteko xehetasuna.
Irakurri profila bi muturretatik
Rolak paperean alderantzikatzea dagoen berrikuspen azkarrena da: trukatu tarte babestuak, mantendu alde bakoitzaren hurrengo jauzia eta alde bakoitzaren identitatea. Trukea gainditzen ez duen guztia ziurrenik lan okerrean esleitua dago.
Ondoren probatu fluxu bat rol bakoitzeko: parekoen arteko irisgarritasuna, barneko bezero-fluxu bat eta atebidetik sortutako eskaera bat. Hiru probek lan bat oker esleitua dagoela esaten dizute konfigurazioa berriro ireki gabe. Gehitu emaitza tiketari aldatu duzun eremuaren ondoan, hurrengo ingeniariak profil bera aurkituko baitu.