Viisi osoiteroolia IPsec-profiilissa ja mikä niistä on väärin
Päätepiste, identiteetti, suojattu aliverkko, yhdyskäytävän lähde ja seuraava hyppy vastaavat kukin eri kysymykseen. Yhdistä ensin oire kenttään.
Viisi eri tehtävää saa osoitteen tyypillisessä yhteyden määritelmässä, eikä niiden tarvitse olla keskenään yhtäpitäviä. Ylläpitäjät juuttuvat, koska järkevä vaisto, kaikkien kenttien osoittaminen samaan isäntään, on väärä ainakin kolmen kohdalla. Ulospääsy on nimetä ensin oire ja katsoa sitten sitä yhtä tai kahta kenttää, jotka voisivat tuottaa sen.
Viisi tehtävää tärkeysjärjestyksessä
Kuljetuksen päätepiste on paikka, johon IKE-vaihto toimitetaan. Todennettu identiteetti on nimi, jonka kumpikin puoli todistaa, ja sitä verrataan käytäntöön, ei reititystauluun. Suojatut aliverkot ovat valitsimia, jotka päättävät, mikä sisäinen liikenne kuuluu tunneliin. Sitten on lähde, jota käytetään, kun yhdyskäytävä itse aloittaa keskustelun, ja lopuksi alakerroksen seuraava hyppy vertaiskoneen tavoittamiseksi.
Osallistujien tunnisteet kuten left ja right ovat sopimuksia yhteyden kahdelle puolelle, eivät paikallisen ja etäisen synonyymejä. Lue asennetun toteutuksen käsikirja ennen kuin oletat avaimen tarkoittavan sitä, mitä toinen tuote sillä tarkoitti.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Päätös yksi: mitään ei synny
Kun lokeissa ei näy lainkaan vaihtoa, päätepiste on ensimmäinen epäilty: väärä osoite, suodatettu polku tai verkkoliitäntä, jolla taustapalvelu ei kuuntele. Siirry identiteettikenttiin vasta, kun kättely näkyy, sillä identiteettiä arvioidaan vaihdon sisällä, ei ennen sitä. Suodatettu polku ja väärä osoite näyttävät asiakkaan puolelta samoilta, joten tarkista kuunteleva puoli ennen kuin muutat mitään. Varmista, että taustapalvelu on sidottu odottamaasi liitäntään, sillä yhdellä osoitteella kuunteleva palvelu näyttää täsmälleen estetyltä polulta.
Käännöksen kautta havaittu julkinen osoite ei ole sama asia kuin identiteetti, jonka vertaiskone todistaa. Osoitteen muuttaminen vastaamaan sitä, mitä pakettikaappaus näyttää kaukoaskelmassa, on yleinen ja väärä korjaus.
Päätös kaksi: tunneli on ylhäällä ja liikenne kuolee
Valitsimet päättävät, mitä tunneliin menee, ja epäsuhta tässä tuottaa yhteyden, joka neuvottelee onnistuneesti, kun sovellus yhä epäonnistuu. Etäpuolen on nimettävä suojattu alueesi omaksi etäalueekseen, ja juuri sinne käänteiset arvot livahtavat.
Lue molemmat kokoonpanot rinnakkain ennen muokkaamista. Yhden isännän paikallinen alue on toisen etäalue, ja yksi ainoa vaihdettu pari selittää tunnelin, joka ei kuljeta mitään. Kavenna paria ennen avaimiin koskemista: yksi aliverkko tunnelin sisällä ja yksi ulkopuolella kertoo, onko syy valitsimessa vai reitityksessä.
Päätös kolme: vain yhdyskäytävän oma liikenne epäonnistuu
Asiakkaille edelleen välitetty liikenne voi toimia moitteettomasti, kun taas pyyntö, jonka yhdyskäytävä itse aloittaa, epäonnistuu, koska sillä virralla ei ole asiakaslähdettä perittäväksi. Suositun lähteen asetus on juuri tätä tapausta varten, eikä se ole lähteen käännös: se valitsee lähdeosoitteen sen sijaan, että kirjoittaisi sellaisen uudelleen.
Sovellus, joka sitoo nimenomaisesti toisen osoitteen, voi ohittaa suosituksen, joten varmista paketin todellinen lähde ennen kuin päättelet asetuksen jätettävän huomiotta. Kaappaa yhdyskäytävän omalta liitännältä sen sijaan, että luottaisit kokoonpanon aikomukseen.
Seuraava hyppy on paikallinen ohje
Alakerroksen seuraava hyppy kertoo tälle isännälle, miten vertaiskone saavutetaan, eikä etäpuoli tarvitse samaa arvoa. Sen kohteleminen jaettuna asetuksena tai oletusyhdyskäytävän kovakoodaaminen rikkoutuu hetkellä, jolloin reitti muuttuu tai toinen polku ilmestyy.
Jotkin toteutukset tarjoavat tässä erikoisarvoja. Se, mitä käsikirja luettelee asennetulle versiolle, on ainoa turvallinen vastaus, ja paikallinen reititystaulu on todiste siitä, että se toimi. Kun vertaiskone on tavoitettavissa nimellä mutta ei osoitteella, tuo epäsuhta on löydös, ei yksityiskohta, jonka ohi kierretään.
Lue profiili molemmista päistä
Roolien kääntäminen paperilla on nopein katsaus, joka on olemassa: vaihda suojatut alueet, pidä kummankin puolen oma seuraava hyppy ja kummankin puolen oma identiteetti. Kaikki, mikä ei kestä vaihtoa, on todennäköisesti osoitettu väärälle tehtävälle.
Testaa sitten yksi virta roolia kohden: vertaisten välinen tavoitettavuus, sisäinen asiakasvirta ja yhdyskäytävästä lähtevä pyyntö. Kolme testiä kertoo, mikä tehtävä on osoitettu väärin, ilman että kokoonpanoa avataan uudelleen. Lisää tulos tikettiin muuttamasi kentän viereen, sillä seuraava insinööri kohtaa saman profiilin.