જ્યારે IKEv2 TS_UNACCEPTABLE પરત કરે, ત્યારે વાસ્તવિક સબનેટની સરખામણી કરો

TS_UNACCEPTABLE ને કવરેજ અંગેનો મતભેદ ગણો, બગડેલી પ્રોફાઇલ નહીં. ગેટવે કહે છે કે બંને પીઅર એ વાત પર સહમત થઈ શક્યા નથી કે આ ટનલ કયા સરનામાં વહન કરી શકે. તે ક્ષણે IKE SA પહેલેથી ઉપર હોઈ શકે છે, એટલે ક્લાયન્ટ પાછળ કોઈ ચાઇલ્ડ SA વિના પણ જોડાયેલો દેખાઈ શકે છે. એ રીતે ફ્રેમ કરો પછી કામ યાંત્રિક બની જાય છે. બંને બાજુના ઇચ્છિત પ્રીફિક્સ લખો, એક જ દિશામાં તેમની સરખામણી કરો અને જ્યાં સુધી તેઓ છેદે નહીં ત્યાં સુધી સાંકડા કરો.

પહેલા ઇચ્છિત જોડીઓ લખો

રૂપરેખાંકનને સ્પર્શ કરતા પહેલા ચાર મૂલ્યોની યાદી બનાવો: શરૂ કરનારની સ્રોત શ્રેણી, તેની ગંતવ્ય શ્રેણી, અને જવાબ આપનારની બાજુથી જોયેલી એ જ જોડી. દરેકનું સરનામું-કુટુંબ પણ નોંધો. IPv4 શ્રેણી અને IPv6 શ્રેણી અલગ પસંદગીકર્તા પ્રકારો છે, અને એકને બીજાના પેલોડમાં ફોલ્ડ કરી શકાતું નથી.

નીતિ જે પ્રોટોકોલ કે પોર્ટ પ્રતિબંધ ધરાવે છે તે ઉમેરો. ફક્ત TCP 445 ને ફાઇલ સર્વર તરફ મંજૂરી આપતો નિયમ, તે જે સબનેટમાં બેસે છે તેના કરતાં સાંકડો સમૂહ વર્ણવે છે. તે તમારી નોંધની બહાર રાખશો તો વાટાઘાટનું પરિણામ તમે ન જોઈ શકો તેવા કારણોસર અસંગત લાગશે.

સરખામણી કરતા પહેલા લેબલ ઉલટાવો

સ્થાનિક અને દૂરસ્થ સાપેક્ષ લેબલ છે. ક્લાયન્ટનું સ્થાનિક પ્રીફિક્સ એ ગેટવેની દૂરસ્થ શ્રેણી છે, અને ગેટવેની સ્થાનિક શ્રેણી એ ક્લાયન્ટની દૂરસ્થ છે. તેથી બંને છેડાના સ્ક્રીનશોટ કદી મેળ ખાતા નથી, અને તેમને શબ્દશઃ સરખાવવા એ બપોર ગુમાવવાનો સામાન્ય રસ્તો છે.

જવાબ આપનાર પ્રસ્તાવને નકારવાને બદલે તેને સ્વીકાર્ય ઉપસમૂહ સુધી સાંકડો કરી શકે છે. તે પરિણામ સ્વચ્છ નિષ્ફળતા કરતાં ખરાબ છે, કારણ કે તે અડધું કામ કરે છે. જ્યારે નીતિ 10.0.5.0/24 ની મંજૂરી આપે ત્યારે 10.0.0.0/16 માગો, અને તમે ફક્ત એ /24 આવરી લેતી ચાઇલ્ડ SA સાથે પૂરા થઈ શકો છો. એક હોસ્ટ જવાબ આપે છે, બાકીનું બધું બહાર પડી જાય છે, અને ક્લાયન્ટમાં કંઈપણ તેમ કહેતું નથી. વાટાઘાટ સફળ થઈ એવું તારણ કાઢતા પહેલા માગેલા નહીં, સ્વીકૃત પસંદગીકર્તાઓ વાંચો.

ડિફોલ્ટ રૂટ માગતી રોડ-વોરિયર પ્રોફાઇલ અહીં સતત આવી પડે છે. વિભાજિત ઍક્સેસ માટે બનેલો ગેટવે પૂર્ણ-શ્રેણીના પ્રસ્તાવને પોતાના સબનેટ સુધી સાંકડો કરે છે, અને ક્લાયન્ટે સાંકડું પરિણામ સ્વીકારવું પડે છે અથવા મોટેથી નિષ્ફળ જવું પડે છે.

એક જ પ્રયાસમાંથી નકાર વાંચો

એક જ કનેક્શન પ્રયાસના બંને લોગ એકઠા કરો. સાચવેલી પ્રોફાઇલ બતાવે છે કે તમે શું રૂપરેખાંકિત કર્યું, પ્રસ્તાવ શું મૂકાયો તે નહીં, અને strongSwan પર swanctl --log મળેલી સૂચનાને તે જે પસંદગીકર્તાઓ ધરાવતી હતી તેમની સાથે છાપે છે.

પછી ખરેખર શું સ્થાપિત થયું તે તપાસો. swanctl --list-sas ચાઇલ્ડ SA ના પસંદગીકર્તાઓ બતાવે છે, અને ip xfrm policy એ જ શ્રેણીઓને કર્નલ નીતિ એન્ટ્રી તરીકે બતાવે છે. તે યાદીમાં તમે ઇચ્છ્યા ન હોય તેવા પસંદગીકર્તાઓવાળી ચાઇલ્ડ SA એ સાંકડા થવાની ઘટના છે; લોગમાં ચાઇલ્ડ SA વગર TS_UNACCEPTABLE હોવું એ નકાર છે.

ત્યાં હોવ ત્યારે નજીકના પડોશીઓને અલગ કરો. INVALID_SELECTORS સ્થાપિત ચાઇલ્ડ SA ની અંદરના પસંદગીકર્તા વિશે ફરિયાદ કરે છે, જ્યારે INTERNAL_ADDRESS_FAILURE એટલે જવાબ આપનાર વર્ચ્યુઅલ સરનામું ફાળવી શક્યો નહીં, જે પૂલની સમસ્યા છે, કવરેજની નહીં.

શું શાંતિથી સમૂહને નાનો કરે છે તે તપાસો

ત્રણ વસ્તુઓ કંઈ ન કહેતાં પસંદગીકર્તા સમૂહને નાનો કરે છે. પ્રથમ જવાબ આપનારની નીતિ છે, સબનેટ યાદીઓ, જૂથ નિયમો કે પ્રતિ-વપરાશકર્તા અધિકૃતિ દ્વારા જે પ્રસ્તાવને ઉપસમૂહમાં ઘટાડે છે. બીજું સરનામું-કુટુંબ છે: દ્વિ-સ્ટેક ક્લાયન્ટ ઘણી વાર IPv4 સાથે IPv6 પ્રસ્તાવ મૂકે છે અને ગેટવેએ કદી રૂપરેખાંકિત ન કરેલી શ્રેણીઓ માટે નકાર મેળવે છે.

ત્રીજું પ્રોટોકોલ અને પોર્ટ પ્રતિબંધ છે. જ્યાં નીતિ ફક્ત TCP 445 ની મંજૂરી આપે છે, ત્યાં ચાઇલ્ડ SA ઉપર આવી શકે છે જ્યારે ICMP અને UDP તેની બહાર રહે છે, અને વપરાશકર્તા તૂટેલી ટનલની જાણ કરે છે જ્યારે ફક્ત એક જ પ્રોટોકોલ મંજૂર હતો.

તેથી ફક્ત સરનામાં પહોળા કરવાથી પોર્ટ-મર્યાદિત નીતિ સુધરી શકતી નથી, અને એ જ કેસ છે જે ત્રણ રાઉન્ડ ટ્રબલશૂટિંગ પછી પણ અપરિવર્તિત રહેવાની સૌથી વધુ શક્યતા ધરાવે છે.

બંધ બેસતા ટ્રાફિક સાથે કવરેજ સાબિત કરો

ચાઇલ્ડ SA સ્થાપિત થયા પછી, સ્વીકૃત શ્રેણીઓની અંદર ચોક્કસપણે પડે તેવી એક વિનંતી મોકલો. સ્ટેટસ આઇકોનને બદલે કાઉન્ટર જુઓ: ip -s xfrm state અને ip xfrm policy પાછળના કાઉન્ટર ત્યારે વધે છે જ્યારે પેકેટ મેળ ખાય અને સુરક્ષિત થાય. સાચા ટ્રાફિક પછી શૂન્ય રહેતી બાઇટ-સંખ્યા એટલે કર્નલે તે નીતિ કદી પસંદ કરી નહીં.

એ શૂન્ય રૂટિંગ કે નીતિ-ક્રમની સમસ્યા છે, ક્રિપ્ટોની નહીં. વપરાશકર્તાની જગ્યાએથી તે પસંદગીકર્તા નકાર જેવું જ લાગે છે, એટલે પ્રોફાઇલ ફરી ખોલતા પહેલા કાઉન્ટર એકઠા કરવા યોગ્ય છે. ફક્ત એક જ દિશામાં વધતા કાઉન્ટર તેના બદલે પરત માર્ગ તરફ ઇશારો કરે છે.

સ્વીકૃત જોડીને ટિકિટમાં લખીને પૂર્ણ કરો, મૂળ રીતે માગેલી શ્રેણીની બાજુમાં. પસંદગીને જરૂરી હોય તેટલી સાંકડી રાખો, કારણ કે ખાનગી શ્રેણીને બધા સરનામાંથી બદલીને ભૂલ દૂર કરવાથી એકાઉન્ટ માટે મંજૂર કરેલા કરતાં ઘણો વધુ ઍક્સેસ મળે છે.