Sarrerako IPsec kidea profilekin bat ez datorrela? Egiaztatu lau eremu

Zure kideak tunela altxatuta dagoela dio, zure aldeak ez du segurtasun-elkarterik erakusten, eta konfigurazio-fitxategiak argi eta garbi badu bat datorren konexio-izen bat. Hiru esaldiak batera egiazkoak izan daitezke. Sarrerako negoziazioa exekutatzen ari den konfigurazioarekin parekatzen da, kidearen helbidea, aurkezten duen identitatea eta proposatzen duen trafikoa erabiliz. Inoiz kargatu ez den disko-fitxategi batek, espero den balioarekin bat ez datorren identitate batek edo prefiksu batean desbideratuta dagoen hautatzaile-pare batek isiltasuna sortuko dute bakoitzak. Ibili lau eremu-taldeak erantzuleak jarraitzen duen ordenan.

Hasi paketetik, ez fitxategitik

Erantzuleak IKE eskaera bat jasotzen du, kide hori onar dezakeen definizio bat bilatzen du eta gero autentifikazioarekin eta trafikoaren hautaketarekin jarraitzen du. Lehen urratsean kargatutako definizio bat ere bat ez badator, negoziazioa amaitzen da erabiltzailearengana errorerik erabilgarririk iritsi aurretik.

Horregatik «konfigurazioa ondo ikusten da» ez da proba bat. Galdera da zer kargatu duen exekutatzen ari den zerbitzuak eta zein erregistro hautatu duen saiakera honetarako. Egoera-zerrenda batek horri erantzuten dio komando bakarrean, editorearen bufferrak beste galdera bati erantzuten dion bitartean. Egiaztatu zerrenda fitxategia berriro aldatu aurretik.

Lehen eremu-taldea: benetan kargatuta dagoen definizioa

Egiaztatu exekutatzen ari den egoera daemona duen tresnarekin: kargatutako konexioak zerrendatzen dituen egoera-komandoa, ez editorearen bufferra. Berretsi espero duzun erregistroa badagoela, nahi duzun abio-portaerarako gaituta dagoela eta zure azken edizioaren ondoren kargatu zela. Gorde baina berriro kargatu ez den fitxategia da «konpondu dut eta ez da ezer aldatu» esaldiaren arrazoi ohikoena.

Berretsi zerbitzuak zein fitxategi irakurtzen duen ere. Banaketak desberdinak dira, eta sarrera okerrean idatzitako konexioa isilik baztertzen da, ukatu beharrean. Egoera-zerrendak zure erregistroa batere erakusten ez badu, susma ezazu sarbide-bidea sintaxia baino lehen.

Bigarren eremu-taldea: muturrak ez dira identitateak

Kidea konektatzen den helbidea eta autentifikatzeko erabiltzen duen identitatea eremu bereiziak dira. Ostalari-izen batek, izen bereizi batek, gako-identifikatzaile batek eta helbide batek IKE identitate gisa balio dezakete konfigurazioaren arabera, eta ez dute zertan batere helbide publikoaren antza izan.

Muturren parekatzeak NAT ikuspegia ere izan dezake: sarean ikusitako helbidea kideak uste duen helbidetik desberdina izan daiteke. libreswanen konexio-ereduan, left eta right bi parte-hartzaileen etiketak dira, ez ordena finko bat tokikoa eta urrunekoa, eta horregatik beste gune bateko konfigurazio eraginkor bat kopiatu eta helbideak trukatzea ez da itzulpen fidagarria.

Idatzi bi aldeen espero den identitatea eta hura baliozkotzen duen kredentziala. Bi lerro horiek bat ez badatoz, helbideak doitzeak ez du inolako bat-etortzerik sortuko.

Hirugarren eremu-taldea: babesten ari den trafikoa

Hautatzaileek barneko iturri- eta helburu-barrutiak, haien helbide-familia eta protokolo edo ataka-murrizketa oro deskribatzen dituzte. Ostalari bakar baten helbiderako proposamena ez da azpisare oso baterako eskaera bera, eta azpisarerako konfiguratuta dagoen erantzuleak baztertu edo estutu dezake.

Bi muturrak bat ez datozenean, konparatu aurreikusitako jarioa bi ikuspegietatik, hautatzaile bakoitza zabaldu beharrean zerbait konekta dadin. Galdetu administratzaile bakoitzari ustez babesten duen jarioa zein den, eta gero konparatu bi erantzunak. Desadostasuna normalean ostalari-prefix bat da alde batean eta azpisare bat bestean. Orain dena babesten duelako bat datorren tunela beste segurtasun-erabaki bat da, eta inork onartu ez duena.

Laugarren eremu-taldea: inplementazio bat irakurtzen ari zara

Libreswanek, Openswan zaharrak eta strongSwanek kudeaketa-tresna desberdinak, konfigurazio-sintaxi desberdina eta parekatze-ordena desberdina dituzte. Batean funtzionatzen duen adibideak ez du ezer zehatzik esaten bestearen profileko hautapen-prioritateari edo errore-formulazioari buruz, beraz egiaztatu ostalari honetako daemonaren dokumentazioarekin.

Korrelazionatu saiakera bat hasieratik amaierara: hasiarazlearen iturri-helbidea, eskainitako identitatea eta proposatutako hautatzaileak — erantzulearen hautapen-mezuaren eta hark izendatzen duen kargatutako erregistroaren aurka. Zero enkapsulazio eta deskapsulazio-kontagailuek soilik esaten dute behatutako elkarteek ez dituztela pakete horiek eraman; ez dute proposamena baztertu zuen muturra izendatzen, ezta une hartan erregistro egokirik zegoenik frogatzen ere.

Zuzenketa koordinatu baten ondoren, berretsi hautatutako profila eta elkartea, eta gero probatu benetan baimendutako zerbitzua eta haren erantzun-bidea. Profiletiko bat-etortzeak negoziazioa gaitzen du, eta negoziazioa ez da azken sarbide-egiaztapena.