Ynkommende IPsec-peer past by gjin profyl? Kontrolearje fjouwer fjilden

Dyn peer meldt dat de tunnel omheech is, dyn kant lit gjin befeiligingsassosjaasje sjen, en it konfiguraasjebestân befettet dúdlik in passende ferbiningsnamme. Dy trije bewearings kinne allegearre wier wêze. In ynkommende ûnderhanneling wurdt tsjin de rinnende konfiguraasje matsen, mei it adres fan 'e peer, de identiteit dy't er foarleit en it ferkear dat er foarstelt. In bestân op skiif dat nea laden is, in identiteit dy't net mei de ferwachte wearde oerienkomt, of in selekteurpear dat ien foarheaksel mis is, sil elk stilte opleverje. Rin de fjouwer fjildgroepen nei yn 'e folchoarder dy't de antwurder folget.

Begjin by it pakket, net by it bestân

De antwurder ûntfangt in IKE-fersyk, siket in definysje dy't dizze peer akseptearje kin, en giet dan fierder mei ferifikaasje en ferkearsseleksje. As gjin laden definysje by de earste stap past, einiget de ûnderhanneling foardat in nuttige flater de brûker berikt.

Dêrom is “de konfiguraasje sjocht der goed út” gjin bewiis. De fraach is wat de rinnende tsjinst laden hat en hokker ynskriuwing er foar dizze poging keazen hat. In statuslist antwurdet dat mei ien opdracht, wylst in bewurkerbuffer in oare fraach antwurdet. Kontrolearje de list foardat jo it bestân wer feroarje.

Fjildgroep ien: de definysje dy't echt laden is

Kontrolearje de rinnende tastân mei it helpmiddel dat de daemon besit: in statusopdracht dy't laden ferbiningen listet, net de bewurkerbuffer. Befêstigje dat de ynskriuwing dy't jo ferwachtsje oanwêzich is, ynskeakele is foar it opstartgedrach dat jo bedoele, en laden is nei jo lêste bewurking. In bewarre bestân dat net opnij laden is, is de meast foarkommende oarsaak fan “ik haw it reparearre en der is neat feroare”.

Befêstigje ek hokker bestân de tsjinst lêst. Distribúsjes ferskille, en in ferbining skreaun yn 'e ferkearde ynslettening wurdt stilwei negearre ynstee fan wegere. As de statuslist jo ynskriuwing hielendal net lit sjen, fertink dan it ynsletteningspaad foardat jo de syntaks fertinke.

Fjildgroep twa: einpunten binne gjin identiteiten

It adres dêr't de peer ferbining makket en de identiteit dêr't er mei ferifiearret binne aparte fjilden. In hostnamme, in ûnderskiedende namme, in kaai-ID en in adres kinne allegearre as IKE-identiteit tsjinje ôfhinklik fan 'e konfiguraasje, en se hoege hielendal net op it iepenbiere adres te lykjen.

It matsen fan einpunten kin ek in NAT-sicht omfetsje: it adres dat op it net sjoen wurdt, kin ferskille fan it adres dat de peer mient te hawwen. Yn it ferbiningsmodel fan libreswan binne left en right labels foar de twa dielnimmers ynstee fan in fêste pleatslike en fiere folchoarder, en dêrom is it kopiearjen fan in wurkjende konfiguraasje fan in oare lokaasje en it ferwikseljen fan 'e adressen gjin betroubere oersetting.

Skriuw de ferwachte identiteit fan beide kanten en it bewiisstik dat dy falidearret op. As dy twa rigels net oerienkomme, sil gjin hoemannichte adresaanypassing in match opleverje.

Fjildgroep trije: it ferkear dat beskerme wurdt

Selekteurs beskriuwe de binnenste boarne- en bestimmingsberikken, har adresfamylje, en elke protokol- of poartbeheining. In foarstel foar ien hostadres is net deselde oanfraach as foar in hiel subnet, en in antwurder dy't foar it subnet konfigurearre is, kin it wegerje of ferneie.

As de twa einen net oerienkomme, fergelykje de bedoelde stream fanút beide eachpunten ynstee fan elke selekteur te ferbreedzjen om wat ferbine te litten. Freegje elke behearder nei de stream dy't er mient te beskermjen, en fergelykje dan de twa antwurden. De ôfwiking is meastal in hostfoarheaksel oan 'e iene kant en in subnet oan 'e oare. In tunnel dy't past om't er no alles beskermet, is in oare befeiligingsbeslissing, en ien dy't gjinien goedkard hat.

Fjildgroep fjouwer: jo lêze ien ymplemintaasje

Libreswan, âldere Openswan en strongSwan hawwe ferskate behearhelpmiddelen, ferskate konfiguraasjesyntaks en ferskate matsoarder. In wurkjend foarbyld fan ien seit neat krekt oer de profylkarprioriteit of de flaterbewurding fan in oare, dus ferifiearje mei de dokumintaasje foar de daemon op dizze host.

Korrelearje ien poging fan begjin oant ein: it boarne-adres fan 'e inisjator, de oanbeane identiteit en de foarstelde selekteurs — tsjin it seleksjeberskep fan 'e antwurder en de laden ynskriuwing dy't it neamt. Nul-tellers foar ynkapseling en dekapsulaasje sizze allinnich dat de waarnommen assosjaasjes dy pakketten net droegen hawwe; se neame net it einpunt dat it foarstel wegere en bewiize net dat der op dat stuit in passende ynskriuwing bestie.

Befêstigje nei in koördinearre korreksje it keazen profyl en de assosjaasje, en test dan de echt tastiene tsjinst en syn antwurdpaad. In profylmatch makket ûnderhanneling mooglik, en ûnderhanneling is net de lêste tagongskontrôle.