MAC komt net oerien yn IKE: de kontrôle fan de mienskiplike kaai is mislearre

Jo Cloud VPN-log lit in besykjen mei in mienskiplike kaai sjen, folge troch MAC mismatched, en de earste ympuls is faaks om in adresprobleem te sykjen. Yn dizze tûke is MAC in berjochtautentikaasjekoade: in wearde berekkene oer de útwikseling mei de ûnderhannele kaai. De peiler ferlike syn eigen berekkening mei de wearde dy't er krige, en se ferskilden. D'r is gjin netwurkkaart by belutsen, en gjin ynterface-ynstelling feroaret dy ferliking.

Yn 'e praktyk komme der twa betingsten foar: de geheimens oan 'e beide kanten is net deselde wearde, of de identiteiten dy't brûkt wurde om de geheimens te kiezen komme net oerien. Beslis hokker troch it pear te lêzen, net de inkele tunnel.

Wat de faze bewiist

De kontrôle rint neidat beide kanten har begjinparameters útwiksele en harsels identifisearre hawwe. It kiest kandidaat-mienskiplike kaaien foar de lokale en eksterne identiteiten en probearret de ûntfongen autentikaasjegegevens te falidearjen; as gjinien falidearret, wurdt de diagnoaze útjûn. Dat is in sterke útspraak oer autentikaasje en in swakke oer de oarsaak, want it seit net hokker kant ferkeard is.

Earder súkses giet net oer yn dizze kontrôle. In foltôge IKE_SA_INIT, of in NAT-deteksjepayload dy't de ferwachte wearden weromjoech, bewiist dat de peilers prate kinne. It bewiist neat oer oft se in geheimens diele.

Twa konfiguraasjeflaters, ien berjocht

De earste is in echte geheimensôfwiking, en it is meast in foarsjenningstûngelok: in generearre wearde ynstallearre op ien console en op 'e oare opnij typt, in efterste karakter dat oan ien kant oerlibbe, of in oanhelteken dat mei in plak kaam. De twadde is in identiteitsôfwiking, wêrby't de geheimens korrekt is mar de identiteit dy't de peiler presintearret in oare ynfier kiest, sadat de rjochte geheimens nea besocht wurdt. Beide jouwe deselde rigel, dêrom kostet rieden in middei.

Fergelykje it pear foar't jo ien fan 'e geheimens oanreitsje. Lit de tunnel, it peilereinpunt, it tiidfinster en de eksterne konfiguraasje oerienkomme, want twa oerstallige tunnels kinne ferskillende geheimens hâlde en it skerm foar jo is miskien net dejinge dy't mislearre.

NAT-deteksje is in oare faze

NAT-deteksje freget hoe't pakketten werbeskreaun wurde, net wa't de peiler is. In klantpoarte efter NAT autentisearret noch altyd korrekt as har konfigurearre identiteit dejinge is dy't de peiler ferwachtet, en in NAT-probleem docht bliken as in foarstel- of poartôfwiking ynstee fan in mislearre autentikaasjefeliking.

Drage gjin âlde útspraak oer ien ferzje fan in leveransier oer nei in hjoeddeistige ynset. Wat NAT-trochgong yn jo ferzje freget heart by syn eigen dokumintaasje, en de útdrukking MAC mismatch is gjin bewiis foar of tsjin.

Beslis út it pear, net it skerm

Lês beide konfiguraasjes neist elkoar mei de geheimens ferburgen, en stel dan trije fragen. Is de identiteit oan elke kant krekt wat de oare ferwachtet, karakter foar karakter? Brûke beide kanten deselde IKE-ferzje en deselde autentikaasjemetoade? Komt de mislearjende tunnel oerien mei de konfiguraasje dy't jo lêze? In nee op ien fan dy beslút de reparaasje sûnder de geheimens oan te reitsjen.

As alle trije skjin binne, ferfange de geheimens fia de goedkarde wurkstream ynstee fan deromhinne te bewurkjen.

Neidat de peiler autentisearret

Sadree't autentikaasje slagget, is it folgjende flak fan falen de bernfeiligensassosjaasje: foarstellen en ferkearsselekteurs. It rotearjen fan in geheimens dy't al akseptearre is kin in bernflater net reparearje en it ferlingt de ûnderbrekking. Lês de berntastân, dan de selekteurs en beskerme berikken oan beide kanten, en match de Cloud VPN-probleemoplossing-lieding by de faze dy't echt mislearre.

Korrelearje farske logs fan beide kanten foar itselde pear en itselde finster. Ien kant allinnich jout in oardiel sûnder de ynfier fan 'e oare, en dat is de dûbelsinnigens dy't it berjocht yn 't earstoan makke hat.

Wat net te konkludearjen

Lês it berjocht net as in eask om MAC-adressen te feroarjen, en publisearje de mienskiplike geheimens net wylst jo om help freegje; in úttreksel mei de kaai moat de kaai fuorthelle hawwe, net it log bewarre. Nim ek gjin routingflater oan, want peilers dy't inoar net berikke kinne meitsje hielendal gjin autentikaasjefeliking. En generalisearje gjin dokumintearre beheining fan ien produktfamylje nei elke IPsec-ymplemintaasje.

Skriuw it mislearjende pear op, de tunnelstân foar en nei, en hokker fan 'e twa betingsten jo feroare hawwe. Dat record makket it folgjende gefal in kontrôle fan fiif minuten.