עמית IPsec נכנס שאינו תואם לאף פרופיל? בדקו ארבעה שדות

העמית שלכם מדווח שהמנהרה למעלה, הצד שלכם אינו מציג שום אסוציאציית אבטחה, וקובץ התצורה מכיל בבירור שם חיבור תואם. שלושת המשפטים האלה יכולים להיות נכונים בו-זמנית. משא ומתן נכנס מושווה לתצורה הפועלת, לפי כתובת העמית, הזהות שהוא מציג והתעבורה שהוא מציע. קובץ בדיסק שמעולם לא נטען, זהות שאינה תואמת את הערך הצפוי, או זוג בוררים שסוטה בתחילית אחת — כל אחד מהם מייצר דממה. עברו על ארבע קבוצות השדות בסדר שבו נוקט המגיב.

התחילו מהמנות, לא מהקובץ

המגיב מקבל בקשת IKE, מחפש הגדרה שיכולה לקבל את העמית הזה, ואז ממשיך באימות ובבחירת תעבורה. אם באף שלב ראשון אין הגדרה טעונה שתואמת, המשא ומתן מסתיים לפני ששגיאה שימושית מגיעה למשתמש.

לכן «התצורה נראית נכונה» אינה הוכחה. השאלה היא מה השירות הפועל טען ואיזו רשומה הוא בחר לניסיון הזה. רשימת מצב עונה על כך בפקודה אחת, בעוד מאגר העורך עונה על שאלה אחרת. בדקו את הרשימה לפני שתשנו את הקובץ שוב.

קבוצת השדות הראשונה: ההגדרה שבאמת נטענה

בדקו את המצב הפועל בכלי שבעל הדימון: פקודת מצב שמפרטת חיבורים טעונים, לא מאגר העורך. ודאו שהרשומה שאתם מצפים לה קיימת, שהיא מופעלת עבור התנהגות האתחול שאתם רוצים, ושנטענה אחרי העריכה האחרונה שלכם. קובץ שנשמר ולא נטען מחדש הוא הסיבה הנפוצה ביותר ל«תיקנתי וכלום לא השתנה».

ודאו גם איזה קובץ השירות קורא. ההפצות שונות, וחיבור שנכתב בכלילה הלא נכונה מתעלמים ממנו בשקט במקום לדחות אותו. אם רשימת המצב אינה מציגה את הרשומה שלכם כלל, חשדו בנתיב הכלילה לפני שאתם חושדים בתחביר.

קבוצת השדות השנייה: נקודות הקצה אינן זהויות

הכתובת שממנה העמית מתחבר והזהות שבה הוא מאמת את עצמו הם שדות נפרדים. שם מארח, שם מובחן, מזהה מפתח וכתובת יכולים כולם לשמש כזהות IKE בהתאם לתצורה, ואין להם כלל צורך להיראות כמו הכתובת הציבורית.

התאמת נקודות קצה עשויה לכלול גם מבט NAT: הכתובת הנראית ברשת עשויה להיות שונה מהכתובת שהעמית חושב שיש לו. במודל החיבורים של libreswan, left ו-right הם תוויות לשני המשתתפים ולא סדר קבוע של מקומי ומרוחק, ולכן העתקת תצורה עובדת מאתר אחר והחלפת הכתובות אינה תרגום אמין.

רשמו את הזהות הצפויה של שני הצדדים ואת האישור שמאמת אותה. אם שתי השורות האלה אינן מסכימות, שום כוונון כתובות לא יפיק התאמה.

קבוצת השדות השלישית: התעבורה המוגנת

הבוררים מתארים את טווחי המקור והיעד הפנימיים, את משפחת הכתובות שלהם וכל הגבלת פרוטוקול או פורט. הצעה לכתובת מארח אחת אינה אותה בקשה כמו עבור תת-רשת שלמה, ומגיב שהוגדר עבור תת-הרשת עשוי לדחות אותה או לצמצם אותה.

כששני הקצוות אינם מסכימים, השוו את הזרימה המיועדת משתי נקודות המבט במקום להרחיב כל בורר כדי שמשהו יתחבר. שאלו כל מנהל איזו זרימה הוא חושב שהוא מגן עליה, ואז השוו את שתי התשובות. אי-ההתאמה היא בדרך כלל תחילית מארח בצד אחד ותת-רשת בצד השני. מנהרה שתואמת מפני שהיא מגנה כעת על הכול היא החלטת אבטחה אחרת, ואחת שאיש לא אישר.

קבוצת השדות הרביעית: אתם קוראים מימוש אחד

ל-Libreswan, ל-Openswan הישן ול-strongSwan יש כלי ניהול שונים, תחביר תצורה שונה וסדר התאמה שונה. דוגמה עובדת מאחד אינה אומרת דבר מדויק על עדיפות בחירת הפרופיל או על ניסוח השגיאות של האחר, לכן אמתו מול התיעוד של הדימון במארח הזה.

קשרו ניסיון אחד מקצה לקצה: כתובת המקור של היוזם, הזהות המוצעת והבוררים המוצעים — מול הודעת הבחירה של המגיב והרשומה הטעונה שהיא מכנה. מוני אנקפסולציה ודה-אנקפסולציה של אפס אומרים רק שהאסוציאציות שנצפו לא נשאו את המנות האלה; הם אינם מכנים את נקודת הקצה שדחתה את ההצעה ואינם מוכיחים שהייתה רשומה תואמת באותו רגע.

לאחר תיקון מתואם, אשרו את הפרופיל והאסוציאציה שנבחרו, ואז בחנו את השירות המותר בפועל ואת נתיב התגובה שלו. התאמת פרופיל מאפשרת משא ומתן, ומשא ומתן אינו בדיקת הגישה האחרונה.