Lokacin da IKEv2 ya dawo da TS_UNACCEPTABLE, kwatanta ainihin subnets

Karanta TS_UNACCEPTABLE a matsayin sabani kan ɗaukar yanki, ba a matsayin lalacewar bayanin martaba ba. Ƙofar tana cewa bangarorin biyu sun kasa daidaita kan waɗanne adireshi ne wannan rami zai iya ɗauka. IKE SA na iya kasancewa a tsaye a wannan lokacin, wanda shine dalilin da yasa abokin ciniki zai iya kamar an haɗa shi ba tare da wani SA ɗa a bayansa ba. Da zarar an tsara shi haka, aikin ya zama na inji. Rubuta prefixes ɗin da aka nufa na ɓangarorin biyu, kwatanta su a hanya ɗaya, ka rage har sai sun haɗu.

Da farko rubuta nau'ikan da aka nufa

Kafin ka taɓa saitin, lissafa ƙima huɗu: kewayon tushen mai farawa, kewayon inda zai je, da ma'auratan nan a gani daga mai amsawa. Rubuta kuma dangin adireshi na kowanne. Kewayon IPv4 da kewayon IPv6 nau'ikan zaɓi ne daban-daban, kuma ba za a iya naɗe ɗayan cikin kayan ɗayan ba.

Ƙara duk wani ƙuntatawar yarjejeniya ko tashar da manufar ke ɗauka. Dokar da ke ba da izini kawai TCP 445 zuwa uwar garken fayil tana bayyana ƙaramin saiti fiye da subnet ɗin da take ciki. Idan ka bar shi daga bayananka, sakamakon tattaunawar zai yi kama da rashin daidaituwa saboda dalilan da ba ka gani.

Juya alamar kafin kwatanta su

Na gida da na nesa alamu ne na dangi. Prefix na gida na abokin ciniki shine kewayon nesa na ƙofar, kuma kewayon gida na ƙofar shine na nesa na abokin ciniki. Saboda haka hotunan allo daga ɓangarorin biyu ba sa haɗuwa, kuma kwatanta su a zahiri ita ce hanyar da aka saba na rasa la'asar.

Mai amsawa na iya rage tayin zuwa ƙaramin saiti mai karɓuwa maimakon ƙi shi. Wannan sakamakon ya fi gazawar tsafta muni, domin yana aiki da rabi. Nemi 10.0.0.0/16 yayin da manufar ta ba da izinin 10.0.5.0/24, kuma za ka iya ƙarewa da SA ɗa wanda ke ɗaukar wannan /24 kawai. Mai masauki ɗaya yana amsawa, duk sauran sun faɗi waje, kuma babu abin da ke cikin abokin ciniki ya faɗi haka. Karanta zaɓuɓɓukan da aka karɓa maimakon waɗanda aka nema kafin ka yanke shawarar cewa tattaunawar ta yi nasara.

Bayanan martaba na road warrior da ke neman hanyar da aka saba suna sauka a nan kullum. Ƙofar da aka gina don shiga rabaɗɗiya tana rage tayin cikakken kewayon zuwa subnet ɗinta, kuma abokin ciniki dole ya karɓi sakamakon da aka rage ko ya gaza da ƙarfi.

Karanta ƙin daga ƙoƙari ɗaya

Tattara duka logs biyu daga ƙoƙarin haɗi ɗaya. Bayanin martaba da aka adana yana nuna abin da ka saita, ba abin da aka gabatar ba, kuma a kan strongSwan swanctl --log yana buga sanarwar da aka karɓa tare da zaɓuɓɓukan da ta ɗauka.

Sannan duba abin da aka tabbatar an shigar. swanctl --list-sas yana nuna zaɓuɓɓukan SA ɗa, kuma ip xfrm policy yana nuna waɗannan kewayon a matsayin shigarwar manufar kernel. SA ɗa a cikin wannan jerin da zaɓuɓɓukan da ba ka nufa ba lamari ne na raguwa; babu SA ɗa tare da TS_UNACCEPTABLE a cikin log ɗin ƙi ne.

Yayin da kake can, raba maƙwabta na kusa. INVALID_SELECTORS yana ƙorafi game da zaɓi a cikin kafaffen SA ɗa, yayin da INTERNAL_ADDRESS_FAILURE ke nufin mai amsawa bai iya ba da adireshin kama-da-wane ba, wanda matsala ce ta tafki ba ta ɗaukar yanki ba.

Duba abin da ke rage saitin a hankali

Abubuwa uku suna rage saitin zaɓi ba tare da sun ce komai ba. Manufar mai amsawa ita ce ta farko, ta hanyar jerin subnet, dokokin rukuni ko izini ga kowane mai amfani waɗanda ke rage tayin zuwa ƙaramin saiti. Dangin adireshi shine na biyu: abokin ciniki mai tari biyu yakan gabatar da IPv6 tare da IPv4 kuma yana samun ƙi don kewayon da ƙofar ba ta taɓa saita ba.

Ƙuntatawar yarjejeniya da tasha ita ce ta uku. Inda manufar ta ba da izinin TCP 445 kawai, SA ɗa na iya tashi yayin da ICMP da UDP suka kasance a waje, kuma mai amfani ya ba da rahoton karyewar rami yayin da yarjejeniya ɗaya ce kawai aka taɓa yarda.

Don haka faɗaɗa adireshi kawai ba zai iya gyara manufar da aka takaita ta tasha ba, kuma wannan shine lamarin da ya fi yiwuwar wuce zagaye uku na warware matsala ba canzawa.

Tabbatar da ɗaukar yanki da zirga-zirgar da ta dace

Bayan an shigar da SA ɗa, aika buƙata ɗaya wadda tabbas ta faɗi cikin kewayon da aka karɓa. Kalli masu ƙididdigewa maimakon gunkin matsayi: ip -s xfrm state da masu ƙididdigewa bayan ip xfrm policy suna ƙaruwa lokacin da aka daidaita fakiti kuma aka kare shi. Adadin bytes da ya tsaya a sifili bayan haƙiƙanin zirga-zirga yana nufin kernel bai taɓa zaɓar wannan manufar ba.

Wannan sifili matsala ce ta turawa ko tsarin manufa, ba matsalar crypto ba. Hakanan yana kama da ƙin zaɓi daga wurin mai amfani, wanda shine dalilin da ya sa ya cancanci tattara masu ƙididdigewa kafin ka sake buɗe bayanin martaba. Masu ƙididdigewa da ke hawa a hanya ɗaya kawai suna nuna hanyar dawowa maimakon.

Kammala da rubuta ma'auratan da aka karɓa a cikin tikit, kusa da kewayon da aka nema da farko. Ka riƙe zaɓin a ƙunci kamar yadda buƙatar take, domin share kuskuren ta hanyar maye gurbin kewayon sirri da duk adireshi yana ba da izini fiye da yadda aka amince wa asusun.