همتای ورودی IPsec با هیچ پروفایلی مطابقت ندارد؟ چهار فیلد را بررسی کنید
نام اتصال در یک فایل تا زمانی که پاسخ‌دهنده در حال اجرا آن را انتخاب نکند چیزی را ثابت نمی‌کند. تعریف بارگذاری‌شده، نقاط انتهایی، هویت‌ها و انتخابگرها را مقایسه کنید.
همتای شما می‌گوید تونل برپاست، طرف شما هیچ ارتباط امنیتی نشان نمی‌دهد و فایل پیکربندی آشکارا نام اتصال منطبقی دارد. هر سه این گزاره می‌توانند همزمان درست باشند. مذاکره ورودی با پیکربندی در حال اجرا تطبیق داده می‌شود، بر پایه نشانی همتا، هویتی که ارائه می‌کند و ترافیکی که پیشنهاد می‌دهد. فایلی روی دیسک که هرگز بارگذاری نشده، هویتی که با مقدار مورد انتظار منطبق نیست، یا جفت انتخابگری که یک پیشوند اختلاف دارد — هر یک سکوت تولید می‌کند. چهار گروه فیلد را به همان ترتیبی که پاسخ‌دهنده طی می‌کند دنبال کنید.
از بسته شروع کنید، نه از فایل
پاسخ‌دهنده یک درخواست IKE دریافت می‌کند، به دنبال تعریفی می‌گردد که بتواند این همتا را بپذیرد و سپس با احراز هویت و انتخاب ترافیک ادامه می‌دهد. اگر در گام نخست هیچ تعریف بارگذاری‌شده‌ای منطبق نشود، مذاکره پیش از آنکه خطای مفیدی به کاربر برسد پایان می‌یابد.
به همین دلیل «پیکربندی درست به نظر می‌رسد» دلیل نیست. پرسش این است که سرویس در حال اجرا چه چیزی بارگذاری کرده و کدام مدخل را برای این تلاش انتخاب کرده است. فهرست وضعیت با یک فرمان به آن پاسخ می‌دهد، در حالی که بافر ویرایشگر به پرسشی دیگر پاسخ می‌دهد. پیش از تغییر دوباره فایل، فهرست را بررسی کنید.
گروه فیلد نخست: تعریفی که واقعاً بارگذاری شده است
وضعیت در حال اجرا را با ابزاری که مالک دیمن است بررسی کنید: فرمان وضعیت که اتصال‌های بارگذاری‌شده را فهرست می‌کند، نه بافر ویرایشگر. تأیید کنید که مدخل مورد انتظار وجود دارد، برای رفتار راه‌اندازی مورد نظر شما فعال است و پس از آخرین ویرایش شما بارگذاری شده است. فایل ذخیره‌شده‌ای که دوباره بارگذاری نشده، رایج‌ترین علت «درستش کردم و هیچ چیز تغییر نکرد» است.
همچنین تأیید کنید که سرویس کدام فایل را می‌خواند. توزیع‌ها متفاوت‌اند و اتصالی که در فایل الحاقی اشتباه نوشته شده باشد، به‌جای رد شدن، بی‌صدا نادیده گرفته می‌شود. اگر فهرست وضعیت مدخل شما را اصلاً نشان نمی‌دهد، پیش از نحوه نوشتار به مسیر الحاق شک کنید.
گروه فیلد دوم: نقاط انتهایی هویت نیستند
نشانی‌ای که همتا از آن متصل می‌شود و هویتی که با آن احراز هویت می‌کند دو فیلد جداگانه‌اند. نام میزبان، نام تشخیصی، شناسه کلید و نشانی همگی بسته به پیکربندی می‌توانند هویت IKE باشند و لازم نیست هیچ شباهتی به نشانی عمومی داشته باشند.
تطبیق نقاط انتهایی می‌تواند نمای NAT را نیز دربرگیرد: نشانی‌ای که روی شبکه دیده می‌شود می‌تواند با نشانی‌ای که همتا گمان می‌کند دارد متفاوت باشد. در مدل اتصال libreswan، left و right برچسب دو طرف‌اند و نه ترتیب ثابت محلی و راه‌دور، و به همین دلیل کپی کردن پیکربندی کارآمد از سایت دیگر همراه با جابه‌جایی نشانی‌ها ترجمه‌ای قابل اعتماد نیست.
هویت مورد انتظار هر دو طرف و اعتبارنامه‌ای که آن را تأیید می‌کند بنویسید. اگر این دو خط با هم اختلاف داشته باشند، هیچ مقدار تنظیم نشانی تطابقی ایجاد نخواهد کرد.
گروه فیلد سوم: ترافیکی که محافظت می‌شود
انتخابگرها بازه‌های درونی مبدأ و مقصد، خانواده نشانی آن‌ها و هر محدودیت پروتکل یا درگاه را توصیف می‌کنند. پیشنهاد برای نشانی یک میزبان همان درخواست یک زیرشبکه کامل نیست و پاسخ‌دهنده‌ای که برای زیرشبکه پیکربندی شده ممکن است آن را رد کند یا تنگ‌تر کند.
وقتی دو سر با هم اختلاف دارند، جریان مورد نظر را از هر دو دیدگاه مقایسه کنید، به‌جای اینکه هر انتخابگر را گسترش دهید تا چیزی متصل شود. از هر مدیر جریانی را که گمان می‌کند محافظت می‌کند بپرسید و سپس دو پاسخ را مقایسه کنید. ناسازگاری معمولاً پیشوند میزبان در یک طرف و زیرشبکه در طرف دیگر است. تونلی که منطبق است چون اکنون همه چیز را محافظت می‌کند تصمیم امنیتی دیگری است و تصمیمی که هیچ‌کس آن را تأیید نکرده است.
گروه فیلد چهارم: شما یک پیاده‌سازی را می‌خوانید
Libreswan، Openswan قدیمی و strongSwan ابزارهای مدیریت متفاوت، نحو پیکربندی متفاوت و ترتیب تطبیق متفاوت دارند. نمونه کارآمد از یکی هیچ چیز دقیقی درباره اولویت انتخاب پروفایل یا عبارت خطای دیگری نمی‌گوید، پس با مستندات دیمن روی این میزبان بررسی کنید.
یک تلاش را سرتاسر به هم مرتبط کنید: نشانی مبدأ آغازگر، هویت ارائه‌شده و انتخابگرهای پیشنهادی — در برابر پیام انتخاب پاسخ‌دهنده و مدخل بارگذاری‌شده‌ای که نام می‌برد. شمارنده‌های صفر کپسوله‌سازی و ازکپسوله‌سازی فقط می‌گویند که ارتباط‌های مشاهده‌شده آن بسته‌ها را حمل نکرده‌اند؛ آن‌ها نقطه انتهایی را که پیشنهاد را رد کرده نام نمی‌برند و ثابت نمی‌کنند که در آن لحظه مدخل منطبقی وجود داشته است.
پس از اصلاحی هماهنگ، پروفایل و ارتباط انتخاب‌شده را تأیید کنید و سپس سرویس واقعاً مجاز و مسیر پاسخ آن را بیازمایید. تطبیق پروفایل مذاکره را ممکن می‌کند و مذاکره آخرین بررسی دسترسی نیست.