Kun IKEv2 palauttaa TS_UNACCEPTABLE, vertaa todellisia aliverkkoja
Valitsimen hylkäys on kattavuuserimielisyys kahden vastapuolen välillä. Käännä paikalliset ja etäiset nimitykset toisinpäin ja vertaa sitten tarkkoja alueita, joita kumpikin puoli ehdottaa.
Lue TS_UNACCEPTABLE kattavuuserimielisyytenä, älä vioittuneena profiilina. Yhdyskäytävä sanoo, että kaksi vastapuolta eivät päässeet sopuun siitä, mitä osoitteita tämä tunneli saa kuljettaa. IKE SA voi olla jo pystyssä sillä hetkellä, minkä vuoksi asiakas voi näyttää yhdistetyltä ilman yhtään lapsi-SA:ta taustallaan. Kun kehystät sen näin, työstä tulee mekaanista. Kirjoita molempien puolten aiotut etuliitteet ylös, vertaa niitä yhteen suuntaan ja kavenna, kunnes ne leikkaavat.
Kirjoita aiotut parit ensin ylös
Ennen kuin kosket konfiguraatioon, listaa neljä arvoa: aloittajan lähdealue, sen kohdealue ja sama pari vastaajan näkökulmasta. Kirjaa myös kunkin osoiteperhe. IPv4-alue ja IPv6-alue ovat eri valitsintyyppejä, eikä kumpaakaan voi taittaa toisen hyötykuormaan.
Lisää kaikki käytännön kantamat protokolla- tai porttirajoitukset. Sääntö, joka sallii vain TCP 445:n tiedostopalvelimelle, kuvaa kapeampaa joukkoa kuin aliverkko, jossa se sijaitsee. Jos jätät sen pois muistiinpanoistasi, neuvottelun tulos näyttää ristiriitaiselta syistä, joita et näe.
Käännä nimitykset toisinpäin ennen vertaamista
Paikallinen ja etäinen ovat suhteellisia nimityksiä. Asiakkaan paikallinen etuliite on yhdyskäytävän etäinen alue, ja yhdyskäytävän paikallinen alue on asiakkaan etäinen. Siksi kuvakaappaukset kahdesta päästä eivät koskaan kohtaa, ja niiden kirjaimellinen vertaaminen on tavallinen tapa menettää iltapäivä.
Vastaaja voi kaventaa tarjouksen hyväksyttävään osajoukkoon sen sijaan että hylkäisi sen. Tuo lopputulos on huonompi kuin puhdas epäonnistuminen, koska se toimii puolittain. Pyydä 10.0.0.0/16, kun käytäntö sallii 10.0.5.0/24, ja voit päätyä lapsi-SA:han, joka kattaa vain tuon /24:n. Yksi isäntä vastaa, kaikki muu jää ulkopuolelle, eikä mikään asiakkaassa kerro sitä. Lue hyväksytyt valitsimet eikä pyydettyjä ennen kuin päättelet neuvottelun onnistuneen.
Road warrior -profiilit, jotka pyytävät oletusreittiä, päätyvät tänne jatkuvasti. Jaettuun käyttöön rakennettu yhdyskäytävä kaventaa täyden alueen tarjouksen omiin aliverkkoihinsa, ja asiakkaan on hyväksyttävä kavennettu tulos tai epäonnistuttava äänekkäästi.
Lue hylkäys yhdestä yrityksestä
Kerää molemmat lokit samasta yhteysyrityksestä. Tallennettu profiili näyttää, mitä konfiguroit, ei sitä mitä ehdotettiin, ja strongSwanissa swanctl --log tulostaa vastaanotetun ilmoituksen yhdessä sen kuljettamien valitsimien kanssa.
Tutki sitten, mitä todella asennettiin. swanctl --list-sas näyttää lapsi-SA:n valitsimet, ja ip xfrm policy näyttää samat alueet ytimen käytäntömerkintöinä. Lapsi-SA tuossa luettelossa valitsimilla, joita et tarkoittanut, on kaventumistapahtuma; ei lapsi-SA:ta plus TS_UNACCEPTABLE lokissa on kieltäytyminen.
Erottele läheiset naapurit, kun olet siellä. INVALID_SELECTORS valittaa valitsimesta vakiintuneen lapsi-SA:n sisällä, kun taas INTERNAL_ADDRESS_FAILURE tarkoittaa, ettei vastaaja voinut varata virtuaaliosoitetta, mikä on allasongelma eikä kattavuusongelma.
Tarkista, mikä hiljaa kutistaa joukkoa
Kolme asiaa kutistaa valitsinjoukon sanomatta mitään. Vastaajan käytäntö on ensimmäinen: aliverkkoluettelot, ryhmäsäännöt tai käyttäjäkohtainen valtuutus, jotka supistavat tarjouksen osajoukoksi. Osoiteperhe on toinen: kaksoispino-asiakas ehdottaa usein IPv6:ta IPv4:n rinnalla ja saa hylkäyksen alueille, joita yhdyskäytävä ei koskaan konfiguroinut.
Protokolla- ja porttirajoitukset ovat kolmas. Kun käytäntö sallii vain TCP 445:n, lapsi-SA voi nousta, kun taas ICMP ja UDP jäävät sen ulkopuolelle, ja käyttäjä raportoi rikkinäisestä tunnelista, vaikka vain yksi protokolla oli koskaan sallittu.
Siksi pelkkä osoitteiden levennys ei voi korjata porttirajoitettua käytäntöä, ja juuri se tapaus selviää kolmesta vianetsintäkierroksesta muuttumattomana todennäköisimmin.
Todista kattavuus sopivalla liikenteellä
Kun lapsi-SA on asennettu, lähetä yksi pyyntö, joka varmasti osuu hyväksyttyjen alueiden sisään. Seuraa laskureita tilakuvakkeen sijaan: ip -s xfrm state ja ip xfrm policy:n takana olevat laskurit kasvavat, kun paketti sovitetaan ja suojataan. Nollaan jäävä tavumäärä todellisen liikenteen jälkeen tarkoittaa, ettei ydin koskaan valinnut tuota käytäntöä.
Tuo nolla on reititys- tai käytäntöjärjestysongelma, ei salausongelma. Se näyttää käyttäjän paikalta myös täsmälleen valitsimen hylkäykseltä, minkä vuoksi laskurit kannattaa kerätä ennen kuin avaat profiilin uudelleen. Vain yhteen suuntaan kasvavat laskurit osoittavat sen sijaan paluureitille.
Lopeta kirjoittamalla hyväksytty pari tikettiin, alun perin pyydetyn alueen viereen. Pidä valinta yhtä kapeana kuin vaatimus, sillä virheen poistaminen korvaamalla yksityinen alue kaikilla osoitteilla antaa paljon enemmän pääsyä kuin tilille hyväksyttiin.