Saapuva IPsec-kumppani ei vastaa mitään profiilia? Tarkista neljä kenttää

Kumppanisi ilmoittaa, että tunneli on ylhäällä, sinun puolesi ei näytä yhtään tietoturvayhteyttä ja asetustiedosto sisältää selvästi sopivan yhteyden nimen. Kaikki kolme väitettä voivat olla samanaikaisesti tosia. Saapuva neuvottelu sovitetaan käynnissä olevaan asetukseen kumppanin osoitteen, sen esittämän identiteetin ja sen ehdottaman liikenteen perusteella. Levylle jäänyt tiedosto, jota ei koskaan ladattu, odotetusta arvosta poikkeava identiteetti tai yhden etuliitteen verran vinossa oleva valitsinpari — jokainen niistä tuottaa hiljaisuuden. Käy neljä kenttäryhmää läpi siinä järjestyksessä, jota vastaaja noudattaa.

Aloita paketista, älä tiedostosta

Vastaaja vastaanottaa IKE-pyynnön, etsii määritelmän, joka voi hyväksyä tämän kumppanin, ja jatkaa sitten todennuksella ja liikenteen valinnalla. Jos ensimmäisessä vaiheessa mikään ladattu määritelmä ei sovi, neuvottelu päättyy ennen kuin mikään hyödyllinen virhe saavuttaa käyttäjän.

Siksi „asetus näyttää oikealta“ ei ole todiste. Kysymys on siitä, mitä käynnissä oleva palvelu on ladannut ja minkä merkinnän se valitsi tälle yritykselle. Tilaluettelo vastaa siihen yhdellä komennolla, kun taas editorin puskuri vastaa toiseen kysymykseen. Tarkista luettelo ennen kuin muutat tiedostoa uudelleen.

Ensimmäinen kenttäryhmä: määritelmä, joka on todella ladattu

Tarkista käynnissä oleva tila työkalulla, joka omistaa daemonin: tilakomento, joka luettelee ladatut yhteydet, ei editorin puskuri. Vahvista, että odotettu merkintä on olemassa, on käytössä haluamallesi käynnistyskäyttäytymiselle ja ladattiin viimeisen muokkauksesi jälkeen. Tallennettu tiedosto, jota ei ole ladattu uudelleen, on yleisin syy lauseeseen „korjasin sen, eikä mikään muuttunut“.

Vahvista myös, mitä tiedostoa palvelu lukee. Jakelut eroavat toisistaan, ja väärään sisällytykseen kirjoitettu yhteys jätetään hiljaisesti huomiotta sen sijaan, että se hylättäisiin. Jos tilaluettelo ei näytä merkintääsi lainkaan, epäile sisällytyspolkua ennen syntaksia.

Toinen kenttäryhmä: päätepisteet eivät ole identiteettejä

Osoite, josta kumppani yhdistää, ja identiteetti, jolla se todentaa itsensä, ovat erillisiä kenttiä. Isäntänimi, erottuva nimi, avaimen tunniste ja osoite voivat kaikki toimia IKE-identiteettinä asetuksesta riippuen, eikä niiden tarvitse lainkaan näyttää julkiselta osoitteelta.

Päätepisteiden sovitus voi sisältää myös NAT-näkymän: verkossa nähty osoite voi poiketa osoitteesta, jonka kumppani uskoo itsellään olevan. libreswanin yhteysmallissa left ja right ovat kahden osapuolen tunnisteita eivätkä kiinteä paikallisen ja etäisen järjestys, minkä vuoksi toimivan asetuksen kopioiminen toisesta kohteesta ja osoitteiden vaihtaminen ei ole luotettava käännös.

Kirjoita molempien osapuolten odotettu identiteetti ja sen vahvistava tunnistustieto. Jos nämä kaksi riviä eivät täsmää, mikään määrä osoitteiden säätämistä ei tuota osumaa.

Kolmas kenttäryhmä: liikenne, jota suojataan

Valitsimet kuvaavat sisäiset lähde- ja kohdealueet, niiden osoiteperheen ja mahdollisen protokolla- tai porttirajoituksen. Yhden isäntäosoitteen ehdotus ei ole sama pyyntö kuin koko aliverkolle, ja aliverkolle määritetty vastaaja voi hylätä sen tai kaventaa sitä.

Kun kaksi päätä eivät täsmää, vertaa aiottua virtausta molemmista näkökulmista sen sijaan, että laajentaisit jokaista valitsinta, jotta jotain yhdistyisi. Kysy kummaltakin ylläpitäjältä, mitä virtausta hän uskoo suojaavansa, ja vertaa sitten kahta vastausta. Epäsuhta on yleensä isäntäetuliite toisella puolella ja aliverkko toisella. Tunneli, joka täsmää siksi, että se suojaa nyt kaiken, on toinen turvallisuuspäätös, ja sellainen, jota kukaan ei hyväksynyt.

Neljäs kenttäryhmä: luet yhtä toteutusta

Libreswanilla, vanhemmalla Openswanilla ja strongSwanilla on erilaiset hallintatyökalut, erilainen asetusyntaksi ja erilainen sovitusjärjestys. Yhden toimiva esimerkki ei kerro mitään täsmällistä toisen profiilinvalintaprioriteetista tai virheiden muotoilusta, joten tarkista tämän isännän daemonin dokumentaatiosta.

Korreloi yksi yritys päästä päähän: aloittajan lähdeosoite, tarjottu identiteetti ja ehdotetut valitsimet — vastaajan valintaviestiä ja sen nimeämää ladattua merkintää vastaan. Nollaluvut kapseloinnissa ja purkamisessa kertovat vain, että havaitut yhteydet eivät ole kuljettaneet näitä paketteja; ne eivät nimeä päätepistettä, joka hylkäsi ehdotuksen, eivätkä todista, että sopiva merkintä olisi ollut olemassa sillä hetkellä.

Vahvista koordinoidun korjauksen jälkeen valittu profiili ja yhteys ja kokeile sitten todella sallittua palvelua ja sen vastauspolkua. Profiilin osuma mahdollistaa neuvottelun, eikä neuvottelu ole viimeinen pääsynvalvonta.