IKEv2-k TS_UNACCEPTABLE itzultzen duenean, alderatu benetako azpisareak
Hautatzaile-ukoa bi kideren arteko estaldura-desadostasuna da. Alderantzikatu etiketa lokal eta urrunak, gero alderatu alde bakoitzak proposatzen dituen tarte zehatzak.
Irakurri TS_UNACCEPTABLE estaldura-desadostasun gisa, ez profil hondatu gisa. Pasabideak dio bi kideek ezin izan zutela adostu tunel honek zein helbide eraman ditzakeen. IKE SA jada aktibo egon daiteke une horretan, eta horregatik bezero batek konektatuta eman dezake atzean SA seme-alabarik gabe. Horrela enkoadratuta, lana mekanikoa bihurtzen da. Idatzi bi aldeen aurrizki asmoak, alderatu norabide bakarrean eta estutu ebaki arte.
Lehenengo idatzi asmo diren bikoteak
Konfigurazioa ukitu aurretik, zerrendatu lau balio: hastatzailearen jatorri-tartea, haren helburu-tartea eta bikote bera erantzulearen ikuspegitik. Idatzi bakoitzaren helbide-familia ere. IPv4 tartea eta IPv6 tartea hautatzaile mota desberdinak dira, eta bat ezin da bestearen karga erabilgarrian tolestu.
Gehitu politikak daraman protokolo- edo portu-murrizketa oro. Fitxategi-zerbitzari batera TCP 445 soilik uzten duen arauak berau dagoen azpisarea baino multzo estuagoa deskribatzen du. Zure oharretatik kanpo uzten baduzu, negoziazioaren emaitza koherentzia gabea emango du, ikusten ez dituzun arrazoiengatik.
Alderantzikatu etiketak alderatu aurretik
Lokala eta urruna etiketa erlatiboak dira. Bezeroaren aurrizki lokala pasabidearen urruneko tartea da, eta pasabidearen tarte lokala bezeroaren urrunekoa. Horregatik bi muturretako pantaila-argazkiak ez datoz inoiz bat, eta horiek literalki alderatzea arratsalde bat galtzeko modu arrunta da.
Erantzuleak eskaintza azpimultzo onargarri batera estutu dezake, baztertu beharrean. Emaitza hori huts egite garbia baino okerragoa da, erdi funtzionatzen duelako. 10.0.0.0/16 eskatu politikak 10.0.5.0/24 onartzen duenean, eta /24 hori soilik estaltzen duen SA seme-alaba batekin amaitu dezakezu. Ostalaritza batek erantzuten du, gainerako guztia kanpoan geratzen da, eta bezeroan ezerk ez du hori esaten. Irakurri onartutako hautatzaileak, eskatu direnak ez, negoziazioak arrakasta izan duela ondorioztatu aurretik.
Bide lehenetsia eskatzen duten road warrior profilak etengabe iristen dira hona. Sarbide zatituarako eraikitako pasabideak tarte osoko eskaintza bere azpisareetara estutzen du, eta bezeroak emaitza estutua onartu behar du edo ozenki huts egin.
Irakurri ukoa saiaker bakarreko erregistrotik
Bildu bi erregistroak konexio-saiakera beretik. Gordetako profilak erakusten du zer konfiguratu duzun, ez zer proposatu zen, eta strongSwan-en swanctl --log-k jasotako jakinarazpena inprimatzen du, zeraman hautatzaileekin batera.
Ondoren ikuskatu benetan zer instalatu den. swanctl --list-sas-ek SA seme-alabaren hautatzaileak erakusten ditu, eta ip xfrm policy-ek tarte berak nukleo-politikako sarrera gisa. Zerrenda horretan asmo ez zenituen hautatzaileak dituen SA seme-alaba bat estutze-gertaera da; SA seme-alabarik eza eta TS_UNACCEPTABLE erregistroan ukoa dira.
Han zauden bitartean, bereizi bizilagun hurbilak. INVALID_SELECTORS ezartzen den SA seme-alaba baten barneko hautatzaile baten aurka kexatzen da, eta INTERNAL_ADDRESS_FAILURE-k esan nahi du erantzuleak ezin izan zuela helbide birtualik esleitu, hau igerileku arazoa dela eta ez estaldura arazoa.
Egiaztatu zer txikitzen duen multzoa isilpean
Hiru gauzak hautatzaile-multzo bat txikitzen dute ezer esan gabe. Erantzulearen politika da lehena, azpisare-zerrenden, talde-arauen edo erabiltzaileko baimenaren bidez eskaintza azpimultzo batera murrizten dutenak. Helbide-familia da bigarrena: pila biko bezeroak IPv4-rekin batera IPv6 proposatu ohi du eta pasabideak inoiz konfiguratu ez zituen tarteen ukoa jasotzen du.
Protokolo- eta portu-murrizketak hirugarrenak dira. Politikak TCP 445 soilik uzten duenean, SA seme-alaba bat altxa daiteke ICMP eta UDP kanpoan geratzen diren bitartean, eta erabiltzaileak tunel apurtua salatzen du protokolo bakarra zelako baimenduta zegoen guztia.
Beraz, helbideak soilik zabaltzeak ezin du portuz murriztutako politika konpondu, eta hori da hiru arazo-konponketa errondatan aldatu gabe bizirauteko probabilitate handiena duen kasua.
Frogatu estaldura egokitzen den trafikoarekin
SA seme-alaba instalatu ondoren, bidali ziur onartutako tarteen barruan erortzen den eskaera bat. Begiratu kontagailuei, egoera ikonoari ordez: ip -s xfrm state eta ip xfrm policy-ren atzeko kontagailuak handitzen dira pakete bat parekatu eta babesten denean. Trafiko errealaren ondoren zerotan geratzen den byte-kopuruak esan nahi du nukleoak inoiz ez zuela politika hori hautatu.
Zero hori bideratze- edo politika-ordena arazoa da, ez kripto arazoa. Erabiltzailearen lekutik hautatzaile-ukoa bezain berdin ikusten da, eta horregatik kontagailuak biltzea merezi du profila berriro ireki aurretik. Norabide bakarrean igotzen diren kontagailuek itzulera-bidea seinalatzen dute horren ordez.
Amaitu onartutako bikotea txartelean idatziz, hasieran eskatu zen tartearen ondoan. Eduki hautapena baldintza bezain estu, zeren eta akatsa tarte pribatu bat helbide guztiekin ordezkatuz ezabatzeak konturako onartu zena baino askoz sarbide handiagoa ematen baitu.