MAC ei täsmää IKE:ssä: jaetun avaimen tarkistus epäonnistui

Cloud VPN -lokisi näyttää jaetun avaimen yrityksen, jota seuraa MAC mismatched, ja ensimmäinen vaisto on usein etsiä osoiteongelmaa. Tässä haarassa MAC on viestin todennuskoodi: arvo, joka lasketaan neuvotellulla avaimella tehdyn vaihdon yli. Vastapuoli vertasi omaa laskentaansa saamaansa arvoon, ja ne erosivat. Verkkokortti ei ole mukana, eikä mikään liittymäasetus muuta tätä vertailua.

Käytännössä sen aiheuttaa kaksi ehtoa: kahden pään salaisuudet eivät ole sama arvo, tai salaisuuden valintaan käytetyt identiteetit eivät vastaa toisiaan. Päätä kumpi lukemalla pari, ei yksittäistä tunnelia.

Mitä vaihe todistaa

Tarkistus suoritetaan, kun molemmat osapuolet ovat vaihtaneet alkuperäiset parametrit ja tunnistautuneet. Se valitsee ehdokasjaetut avaimet paikalliselle ja etäidentiteetille ja yrittää validoida vastaanotetut todennustiedot; kun mikään ei validoidu, diagnoosi tulostetaan. Se on vahva väite todennuksesta ja heikko syystä, koska se ei kerro, kumpi puoli on väärässä.

Aiempi onnistuminen ei siirry tähän tarkistukseen. Valmis IKE_SA_INIT tai NAT-tunnistuksen hyötykuorma, joka palautti odotetut arvot, todistaa, että vastapuolet voivat puhua. Se ei todista mitään siitä, jakavatko ne salaisuuden.

Kaksi kokoonpanovirhettä, yksi viesti

Ensimmäinen on todellinen salaisuuden ero, ja se on yleensä valmisteluvahinko: luotu arvo, joka asennettiin yhdelle konsolille ja kirjoitettiin uudelleen toiselle, yhdelle puolelle jäänyt lopetusmerkki tai liittämisen mukana tullut lainausmerkki. Toinen on identiteetin ero, jossa salaisuus on oikea mutta vastapuolen esittämä identiteetti valitsee toisen merkinnän, joten oikeaa salaisuutta ei koskaan kokeilla. Molemmat tuottavat saman rivin, siksi arvaaminen maksaa yhden iltapäivän.

Vertaa paria ennen kuin kosket mihinkään salaisuuteen. Sovita yhteen tunneli, vastapuolen päätepiste, aikaväli ja etäkokoonpano, koska kahdessa redundantissa tunnelissa voi olla eri salaisuudet eikä edessäsi oleva näyttö välttämättä ole se, joka epäonnistui.

NAT-tunnistus on eri vaihe

NAT-tunnistus kysyy, miten paketteja kirjoitetaan uudelleen, ei sitä, kuka vastapuoli on. NAT:n takana oleva asiakasportti todennetaan edelleen oikein, kun sen määritetty identiteetti on se, jota vastapuoli odottaa, ja NAT-ongelma näkyy ehdotuksen tai portin erona eikä epäonnistuneena todennusvertailuna.

Älä siirrä vanhaa lausuntoa yhdestä toimittajaversiosta nykyiseen käyttöönottoon. Se, mitä NAT-läpäisy versiossasi vaatii, kuuluu sen omaan dokumentaatioon, eikä ilmaus MAC mismatch ole todiste puolesta tai vastaan.

Päätä parista, älä näytöstä

Lue molemmat kokoonpanot rinnakkain salaisuus peitettynä ja esitä sitten kolme kysymystä. Onko kummankin puolen identiteetti täsmälleen se, mitä toinen odottaa, merkki merkiltä? Käyttävätkö molemmat päät samaa IKE-versiota ja samaa todennusmenetelmää? Vastaako epäonnistuva tunneli kokoonpanoa, jota luet? Ei mihin tahansa niistä ratkaisee korjauksen koskematta salaisuuteen.

Jos kaikki kolme ovat puhtaat, korvaa salaisuus hyväksytyllä työnkululla sen sijaan, että muokkaisit sen ympärillä.

Kun vastapuoli on todennettu

Kun todennus onnistuu, seuraava vikapinta on lapsen tietoturvayhteys: ehdotukset ja liikenteen valitsimet. Jo hyväksytyn salaisuuden kierrättäminen ei korjaa lapsen vikaa ja pidentää katkoa. Lue lapsen tila, sitten valitsimet ja suojatut alueet molemmilla puolilla, ja sovita Cloud VPN -vianmääritys -ohje vaiheeseen, joka todella epäonnistui.

Korreloi tuoreet lokit molemmista päistä samalle parille ja samalle aikavälille. Yksi puoli yksin antaa tuomion ilman toisen panosta, ja juuri se epäselvyys tuotti viestin alun perin.

Mitä ei pidä päätellä

Älä lue viestiä vaatimuksena vaihtaa MAC-osoitteita äläkä julkaise jaettua salaisuutta apua pyytäessäsi; avaimen sisältävästä otteesta on poistettava avain, ei lokia säilytettävä. Älä oleta myöskään reititysvikaa, koska vastapuolet, jotka eivät tavoita toisiaan, eivät tuota lainkaan todennusvertailua. Äläkä yleistä yhden tuoteperheen dokumentoitua rajoitusta kaikkiin IPsec-toteutuksiin.

Kirjaa epäonnistuva pari, tunnelin tila ennen ja jälkeen sekä kumpi kahdesta ehdosta muutit. Tämä kirjaus tekee seuraavasta esiintymästä viiden minuutin tarkistuksen.