پنج نقش آدرس در یک پروفایل IPsec و اینکه کدام‌یک اشتباه است

پنج کار متفاوت در یک تعریف اتصال نمونه نشانی می‌گیرند و لازم نیست با یکدیگر هم‌خوان باشند. مدیران گیر می‌کنند چون یک غریزه معقول، یعنی نشانه‌رفتن همه فیلدها به یک میزبان، دست‌کم برای سه‌تای آن‌ها نادرست است. راه برون‌رفت این است که نخست نشانه را نام‌گذاری کنید و سپس به یک یا دو فیلدی بنگرید که می‌توانند آن را بسازند.

پنج کار، به ترتیب اهمیت

نقطه پایانی انتقال جایی است که تبادل IKE تحویل داده می‌شود. هویت احرازشده نامی است که هر طرف اثبات می‌کند، و این نام در برابر سیاست سنجیده می‌شود نه در برابر جدول مسیریابی. زیرشبکه‌های محافظت‌شده همان انتخابگرهایی هستند که تعیین می‌کنند کدام ترافیک درونی به تونل تعلق دارد. سپس منبعی است که وقتی خود دروازه گفت‌وگویی را آغاز می‌کند به کار می‌رود، و در پایان پرش بعدی لایه زیرین برای رسیدن به همتا.

برچسب‌های مشارکت‌کننده مانند left و right قراردادهایی برای دو سوی اتصال هستند، نه مترادف‌های محلی و دور. پیش از آنکه فرض کنید یک کلید همان معنایی را دارد که محصول دیگری از آن می‌خواست، دفترچه پیاده‌سازی‌ای را که واقعاً نصب شده است بخوانید.

تصمیم یکم: هیچ‌چیز برقرار نمی‌شود

وقتی هیچ تبادلی در گزارش‌ها دیده نمی‌شود، نقطه پایانی نخستین مظنون است: نشانی اشتباه، مسیر فیلترشده، یا رابطی که دیمن روی آن گوش نمی‌دهد. تنها پس از آنکه دست‌دهی دیده شد به فیلدهای هویت بروید، چون هویت درون تبادل داوری می‌شود نه پیش از آن. مسیر فیلترشده و نشانی اشتباه از دید کارخواه یکسان به نظر می‌رسند، پس پیش از هر ویرایشی سمت گوش‌دهنده را بررسی کنید. تأیید کنید که دیمن به رابطی که انتظار دارید گره خورده است، چون سرویسی که روی یک نشانی گوش می‌دهد دقیقاً مانند یک مسیر مسدود دیده می‌شود.

نشانی عمومی‌ای که از راه ترجمه دیده می‌شود همان چیزی نیست که هویت همتا اثبات می‌کند. تغییر دادن یک نشانی برای هم‌خوانی با آنچه یک عکس‌برداری بسته در انتهای دور نشان می‌دهد اصلاحی رایج و نادرست است.

تصمیم دوم: تونل بالا است و ترافیک می‌میرد

انتخابگرها تعیین می‌کنند چه چیزی وارد تونل می‌شود و ناهم‌خوانی در اینجا اتصالی می‌سازد که با موفقیت مذاکره می‌کند ولی برنامه همچنان شکست می‌خورد. طرف دور باید گستره محافظت‌شده شما را گستره دور خود بنامد و همان‌جاست که مقادیر وارونه سرریز می‌کنند.

پیش از ویرایش، هر دو پیکربندی را کنار هم بخوانید. گستره محلی روی یک میزبان همان گستره دور روی دیگری است و یک جفت جابه‌جاشده تونلی را توضیح می‌دهد که چیزی حمل نمی‌کند. پیش از دست زدن به کلیدها جفت را باریک کنید: یک زیرشبکه درون تونل و یکی بیرون می‌گوید تقصیر انتخابگر است یا مسیریابی.

تصمیم سوم: فقط ترافیک خود دروازه شکست می‌خورد

ترافیک ارسال‌شده برای کارخواهان می‌تواند بی‌نقص کار کند در حالی که درخواستی که خود دروازه آغاز می‌کند شکست می‌خورد، چون آن جریان منبع کارخواهی برای ارث‌بری ندارد. تنظیم منبع ترجیحی برای همین حالت وجود دارد و این ترجمه منبع نیست: نشانی منبعی را برمی‌گزیند به‌جای بازنویسی یکی.

برنامه‌ای که آشکارا نشانی دیگری را مقید می‌کند می‌تواند بر ترجیح چیره شود، پس پیش از آنکه نتیجه بگیرید تنظیم نادیده گرفته می‌شود منبع واقعی بسته را تأیید کنید. روی رابط خود دروازه عکس‌برداری کنید نه اینکه به نیت پیکربندی اعتماد کنید.

پرش بعدی یک دستور محلی است

پرش بعدی لایه زیرین به این میزبان می‌گوید چگونه به همتا برسد و طرف دور نیازی به همان مقدار ندارد. برخورد با آن به‌عنوان تنظیمی مشترک، یا سخت‌کدکردن یک دروازه پیش‌فرض، همان لحظه‌ای می‌شکند که مسیر تغییر می‌کند یا راه دومی پیدا می‌شود.

برخی پیاده‌سازی‌ها اینجا مقادیر ویژه‌ای عرضه می‌کنند. آنچه دفترچه برای نسخه نصب‌شده فهرست می‌کند تنها پاسخ ایمن است و جدول مسیریابی محلی شاهد آن است که کار کرده است. وقتی همتا با نام در دسترس است ولی با نشانی نه، همین ناهم‌خوانی یافته است، نه جزئیاتی که دورش بچرخید.

پروفایل را از هر دو سر بخوانید

برگرداندن نقش‌ها روی کاغذ سریع‌ترین بازبینی ممکن است: گستره‌های محافظت‌شده را جابه‌جا کنید، پرش بعدی هر طرف و هویت هر طرف را نگه دارید. هر چیزی که از این جابه‌جایی جان سالم به در نمی‌برد احتمالاً به کار نادرست گماشته شده است.

سپس برای هر نقش یک جریان را بیازمایید: دسترس‌پذیری همتا به همتا، یک جریان کارخواه درونی و یک درخواست برخاسته از دروازه. سه آزمون می‌گوید کدام کار نادرست گماشته شده است بی‌آنکه پیکربندی را دوباره بگشایید. نتیجه را در بلیت کنار فیلدی که تغییر دادید بیفزایید، چون مهندس بعدی همان پروفایل را خواهد دید.