Nuair a thugann IKEv2 TS_UNACCEPTABLE ar ais, cuir na fíorfhoshráideanna i gcomparáid

Léigh TS_UNACCEPTABLE mar easaontas clúdaithe, ní mar phróifíl truaillithe. Deir an geata nach raibh an dá phiara in ann teacht ar aontú faoi cén seoltaí is féidir leis an tollán seo a iompar. Féadfaidh an IKE SA a bheith suas cheana ag an nóiméad sin, agus is é sin an fáth go bhféadfadh cliant breathnú nasctha gan aon SA linbh taobh thiar de. Nuair a dhéantar é a fhrámáil mar sin, éiríonn an obair meicniúil. Scríobh síos réimíreanna beartaithe an dá thaobh, cuir i gcomparáid iad i dtreo amháin, agus cúngaigh go dtí go dtrasnaíonn siad.

Scríobh na péirí beartaithe síos ar dtús

Sula gcuireann tú lámh sa chumraíocht, liostaigh ceithre luach: raon foinse an tionscnóra, a raon ceann scríbe, agus an péire céanna mar a fheiceann an freagróir é. Taifead teaghlach seoltaí gach ceann acu freisin. Is cineálacha roghnóirí éagsúla iad raon IPv4 agus raon IPv6, agus ní féidir ceachtar a fhilleadh isteach i bpálasta an chinn eile.

Cuir aon srian prótacail nó poirt atá ag an bpolasaí leis. Déanann riail nach gceadaíonn ach TCP 445 chuig freastalaí comhad cur síos ar thacair níos cúinge ná an foshráid ina bhfuil sí. Má fhágann tú amach as do nótaí é, beidh toradh na hidirbheartaíochta neamhréireach ar chúiseanna nach bhfeiceann tú.

Aisiompaigh na lipéid sula gcuireann tú i gcomparáid iad

Is lipéid choibhneacha iad áitiúil agus cianda. Is é réimír áitiúil an chliaint raon cianda an gheata, agus is é raon áitiúil an gheata raon cianda an chliaint. Mar sin ní thagann seatghrianghraif ón dá cheann le chéile riamh, agus is é an bealach is gnáth chun tráthnóna a chailleadh iad a chur i gcomparáid go liteartha.

Féadfaidh freagróir tairiscint a chúngú go fo-thacar inghlactha in ionad í a dhiúltú. Tá an toradh sin níos measa ná teip ghlan, mar feidhmíonn sé leath bealaigh. Iarr 10.0.0.0/16 nuair a cheadaíonn an polasaí 10.0.5.0/24, agus is féidir leat críochnú le SA linbh nach gclúdaíonn ach an /24 sin. Freagraíonn óstach amháin, titeann gach rud eile lasmuigh, agus ní deir aon rud sa chliant é. Léigh na roghnóirí a nglactar leo seachas iad siúd a iarradh sula gcinneann tú gur éirigh leis an idirbheartaíocht.

Tagann próifílí road warrior a iarrann bealach réamhshocraithe i dtír anseo i gcónaí. Cúngaíonn geata atá tógtha le haghaidh rochtana scoilte tairiscint lánraoin go dtí a fhoshráideanna féin, agus caithfidh an cliant an toradh cúngaithe a ghlacadh nó teip go hard.

Léigh an diúltú ó iarracht amháin

Bailigh an dá loga ón iarracht cheangail chéanna. Taispeánann próifíl shábháilte an méid a chumraigh tú, ní an méid a moladh, agus ar strongSwan priontálann swanctl --log an fógra a fuarthas mar aon leis na roghnóirí a bhí á iompar aige.

Ansin scrúdaigh an méid a suiteáladh i ndáiríre. Taispeánann swanctl --list-sas roghnóirí an SA linbh, agus taispeánann ip xfrm policy na raonta céanna mar iontrálacha polasaí eithne. Is imeacht cúngaithe é SA linbh sa liosta sin le roghnóirí nár bheartaigh tú; is diúltú é gan aon SA linbh móide TS_UNACCEPTABLE sa loga.

Scar na comharsana cóngaracha agus tú ann. Déanann INVALID_SELECTORS gearán faoi roghnóir laistigh de SA linbh bunaithe, agus ciallaíonn INTERNAL_ADDRESS_FAILURE nárbh fhéidir leis an bhfreagróir seoladh fíorúil a leithdháileadh, rud is fadhb linne seachas fadhb clúdaithe.

Seiceáil cad a chrapann an tacar go ciúin

Crapann trí rud tacar roghnóirí gan faic a rá. Is é polasaí an fhreagróra an chéad cheann, trí liostaí foshráide, rialacha grúpa nó údarú in aghaidh an úsáideora a laghdaíonn an tairiscint go fo-thacar. Is é an teaghlach seoltaí an dara ceann: molann cliant dé-stac IPv6 taobh le IPv4 go minic agus faigheann sé diúltú do raonta nár chumraigh an geata riamh.

Is iad srianta prótacail agus poirt an tríú ceann. Nuair nach gceadaíonn an polasaí ach TCP 445, féadfaidh SA linbh teacht aníos agus ICMP agus UDP fós lasmuigh de, agus tuairiscíonn an t-úsáideoir tollán briste nuair nach raibh cead riamh ach ag aon phrótacal amháin.

Mar sin ní féidir le leathnú seoltaí amháin polasaí atá srianta ag port a shocrú, agus is é sin an cás is dóichí a mhairfidh trí bhabhta fabhtcheartaithe gan athrú.

Cruthaigh an clúdach le trácht a fheileann

Tar éis an SA linbh a shuiteáil, seol iarratas amháin a thiteann go cinnte laistigh de na raonta a nglactar leo. Féach ar na cuntair seachas ar an deilbhín stádais: méadaíonn ip -s xfrm state agus na cuntair taobh thiar de ip xfrm policy nuair a mheaitseáiltear paicéad agus nuair a chosnaítear é. Ciallaíonn líon beart a fhanann ag nialas tar éis tráchta fíor nár roghnaigh an t-eithne an polasaí sin riamh.

Is fadhb ródaithe nó ordaithe polasaí an nialas sin, ní fadhb chripte. Breathnaíonn sé freisin go hiomlán cosúil le diúltú roghnóra ó shuíochán an úsáideora, agus is é sin an fáth ar fiú na cuntair a bhailiú sula n-osclaíonn tú an phróifíl arís. Pointíonn cuntair nach n-ardaíonn ach i dtreo amháin ar an mbealach ar ais ina ionad.

Críochnaigh tríd an bpéire a nglactar leis a scríobh sa ticéad, in aice leis an raon a iarradh ar dtús. Coinnigh an roghnú chomh cúng leis an riachtanas, mar tugann glanadh na hearráide trí raon príobháideach a athsholáthar le gach seoladh i bhfad níos mó rochtana ná mar a ceadaíodh don chuntas.