IKE-n MACa ez datorrenean, partekatutako gakoaren egiaztapenak huts egin du

Zure Cloud VPN erregistroak gako partekatuaren saiakera bat erakusten du, atzetik MAC mismatched duela, eta lehen bulkada helbide-arazo bat bilatzea izaten da. Adar honetan MAC mezuaren autentifikazio-kodea da: negoziatutako gakoarekin egindako trukearen gainean kalkulatutako balioa. Pareak bere kalkulua jasotako balioarekin alderatu zuen, eta desberdinak ziren. Ez dago sare-txartelik tartean, eta interfaze-ezarpen batek ere ez du alderaketa hori aldatzen.

Praktikan bi baldintzak sortzen dute: bi muturretako sekretuak ez dira balio bera, edo sekretua hautatzeko erabiltzen diren identitateek ez dute bat egiten. Erabaki zein den bikotea irakurriz, ez tunel bakarra.

Zer frogatzen duen etapak

Egiaztapena bi aldeek hasierako parametroak trukatu eta beren burua identifikatu ondoren exekutatzen da. Tokiko eta urruneko identitateetarako hautagai gako partekatuak hautatzen ditu eta jasotako autentifikazio-datuak baliozkotzen saiatzen da; inork baliozkotzen ez duenean, diagnostikoa igortzen da. Autentifikazioari buruzko baieztapen sendoa da eta kausari buruzkoa ahula, ez baitu esaten zein alde dagoen oker.

Aurreko arrakastak ez du egiaztapen honetara pasatzen. IKE_SA_INIT osatu batek, edo espero ziren balioak itzuli zituen NAT detekzio-karga batek, frogatzen du pareek hitz egin dezaketela. Ez du ezer frogatzen sekretu bat partekatzen duten ala ez.

Bi konfigurazio-errore, mezu bat

Lehena sekretuaren desadostasun erreala da, eta normalean hornikuntza-istripua izaten da: kontsol batean instalatu eta bestean berridatzitako balio bat, alde batean bizirik iraun zuen amaierako karaktere bat, edo itsastearekin etorritako komatxo bat. Bigarrena identitatearen desadostasuna da, non sekretua zuzena den baina pareak aurkezten duen identitateak beste sarrera bat hautatzen duen, beraz sekretu zuzena ez da inoiz probatzen. Biek lerro bera sortzen dute, eta horregatik asmatzeak arratsalde bat balio du.

Alderatu bikotea edozein sekretu ukitu aurretik. Egin bat tunelarekin, parearen amaierako puntuarekin, denbora-leihoarekin eta urruneko konfigurazioarekin, bi tunel erredundanteek sekretu desberdinak izan ditzaketelako eta zure aurreko pantaila ez da huts egin duena izango agian.

NAT detekzioa beste etapa bat da

NAT detekzioak paketeak nola berridazten diren galdetzen du, ez nor den pareak. NAT atzean dagoen bezeroaren ateak zuzen autentifikatzen jarraitzen du bere konfiguratutako identitatea pareak espero duena denean, eta NAT arazoa proposamen edo portu desadostasun gisa agertzen da, ez autentifikazio-alderaketa huts gisa.

Ez eraman hornitzaile bertsio bati buruzko adierazpen zahar bat uneko inplantazio batera. Zure bertsioan NAT zeharkatzeak eskatzen duena bere dokumentazioan dago, eta MAC mismatch esaldia ez da alde edo kontrako froga.

Erabaki bikotetik, ez pantailatik

Irakurri bi konfigurazioak elkarren ondoan sekretua ezkutatuta, eta gero egin hiru galdera. Alde bakoitzeko identitatea zehazki besteak espero duena al da, karakterez karaktere? Bi muturrek IKE bertsio bera eta autentifikazio-metodo bera erabiltzen al dute? Huts egiten duen tunela irakurtzen ari zaren konfigurazioari dagokio? Horietako edozeini ez erantzuteak konponketa erabakitzen du sekretua ukitu gabe.

Hiruok garbi badaude, ordeztu sekretua onartutako lan-fluxuaren bidez, haren inguruan editatu ordez.

Pareak autentifikatu ondoren

Autentifikazioa lortu ondoren, hurrengo hutsegite-azalera seme-segurtasun-elkartea da: proposamenak eta trafiko-hautatzaileak. Dagoeneko onartutako sekretu bat biratzeak ezin du seme-hutsegitea konpondu, eta etenaldia luzatzen du. Irakurri semearen egoera, gero hautatzaileak eta babestutako barrutiak bi aldeetan, eta egin bat Cloud VPN arazoak konpontzeko gidarekin benetan huts egin zuen etaparekin.

Lotu bi muturretako erregistro berriak bikote bererako eta leiho bererako. Alde bakarrak epaia ematen du bestearen sarrera gabe, eta hori da mezua hasieran sortu zuen anbiguotasuna.

Zer ez ondorioztatu

Ez irakurri mezua MAC helbideak aldatzeko eskaera gisa, eta ez argitaratu partekatutako sekretua laguntza eskatzen duzun bitartean; gakoa duen pasarte batek gakoa kenduta behar du, ez erregistroa gordeta. Ez suposatu ibilbide-matxura bat ere, elkar iritsi ezin diren pareek ez baitute autentifikazio-alderaketarik sortzen. Eta ez orokortu produktu-familia bateko dokumentatutako muga IPsec inplementazio guztietara.

Erregistratu huts egiten duen bikotea, tunelaren egoera aurretik eta ondoren, eta bi baldintzetatik zein aldatu duzun. Erregistro horrek hurrengo gertaera bost minutuko egiaztapen bihurtzen du.