MAC לא תואם ב-IKE פירושו שבדיקת המפתח המשותף נכשלה

היומן של Cloud VPN מציג ניסיון עם מפתח משותף ואחריו MAC mismatched, והדחף הראשון הוא לרוב לחפש בעיית כתובת. בענף הזה MAC הוא קוד אימות הודעה: ערך המחושב על ההחלפה עם המפתח המסוכם. העמית השווה את החישוב שלו לערך שקיבל, והם היו שונים. אין כאן כרטיס רשת, ואין הגדרת ממשק שמשנה את ההשוואה הזו.

בפועל שני תנאים יוצרים אותה: הסודות בשני הקצוות אינם אותו ערך, או הזהויות המשמשות לבחירת הסוד אינן תואמות. הכריעו איזו מהן על ידי קריאת הזוג, לא המנהרה הבודדת.

מה השלב מוכיח

הבדיקה רצה לאחר ששני הצדדים החליפו פרמטרים ראשוניים וזיהו את עצמם. היא בוחרת מפתחות משותפים מועמדים לזהות המקומית והמרחוקה ומנסה לאמת את נתוני האימות שהתקבלו; כאשר אף אחד אינו מאומת, נפלטת האבחנה. זו אמירה חזקה על אימות ואמירה חלשה על הסיבה, כי היא אינה אומרת איזה צד טועה.

הצלחה קודמת אינה עוברת לבדיקה הזו. IKE_SA_INIT שהושלם, או מטען גילוי NAT שהחזיר את הערכים המצופים, מוכיח שהעמיתים יכולים לדבר. הוא אינו מוכיח דבר על האם הם חולקים סוד.

שתי שגיאות תצורה, הודעה אחת

הראשונה היא אי-התאמה אמיתית של הסוד, והיא בדרך כלל תאונת אספקה: ערך שנוצר והותקן בקונסולה אחת והוקלד מחדש בשנייה, תו נגרר ששרד בצד אחד, או מרכאה שהגיעה עם הדבקה. השנייה היא אי-התאמה בזהות, שבה הסוד נכון אבל הזהות שהעמית מציג בוחרת רשומה אחרת, כך שהסוד הנכון אינו נבדק לעולם. שתיהן מייצרות את אותה שורה, ולכן ניחוש עולה אחר צהריים.

השוו את הזוג לפני נגיעה בכל סוד. התאימו את המנהרה, נקודת הקצה של העמית, חלון הזמן והתצורה המרוחקת, כי שתי מנהרות עודפות יכולות להחזיק סודות שונים והמסך שלפניכם עשוי שלא להיות זה שנכשל.

גילוי NAT הוא שלב אחר

גילוי NAT שואל איך חבילות נכתבות מחדש, לא מי העמית. שער לקוח מאחורי NAT עדיין מאמת נכון כאשר הזהות שהוגדרה היא זו שהעמית מצפה לה, ובעיית NAT מופיעה כאי-התאמה של הצעה או פורט ולא כהשוואת אימות שנכשלה.

אל תעבירו אמירה ישנה על גרסת ספק אחת לפריסה נוכחית. מה שחציית NAT דורשת בגרסה שלכם שייך לתיעוד שלה, והביטוי MAC mismatch אינו ראיה בעד או נגד.

החליטו מתוך הזוג, לא מתוך המסך

קראו את שתי התצורות זו לצד זו כשהסוד מוסתר, ואז שאלו שלוש שאלות. האם הזהות בכל צד היא בדיוק מה שהצד השני מצפה לו, תו אחר תו? האם שני הקצוות משתמשים באותה גרסת IKE ובאותה שיטת אימות? האם המנהרה שנכשלת מתאימה לתצורה שאתם קוראים? 'לא' לאחת מהן מכריע את התיקון בלי לגעת בסוד.

אם כל השלוש נקיות, החליפו את הסוד דרך תהליך העבודה המאושר במקום לערוך סביבו.

לאחר שהעמית מאמת

ברגע האימות מצליח, משטח הכשל הבא הוא אגודת האבטחה של הילד: הצעות ובוררי תעבורה. סיבוב סוד שכבר התקבל אינו יכול לתקן כשל ילד, והוא מאריך את ההפסקה. קראו את מצב הילד, ואז את הבוררים והטווחים המוגנים בשני הצדדים, והתאימו את מדריך פתרון בעיות Cloud VPN לשלב שנכשל בפועל.

תאמו יומנים טריים משני הקצוות לאותו זוג ולאותו חלון. צד אחד לבדו נותן פסק בלי הקלט של הצד השני, וזו העמימות שיצרה את ההודעה מלכתחילה.

מה לא להסיק

אל תקראו את ההודעה כדרישה לשנות כתובות MAC, ואל תפרסמו את הסוד המשותף בזמן בקשת עזרה; קטע שמכיל את המפתח צריך שהמפתח יוסר, לא שהיומן יישמר. אל תניחו גם תקלת ניתוב, כי עמיתים שלא יכולים להגיע זה לזה אינם יוצרים השוואת אימות כלל. ואל תכלילו מגבלה מתועדת של משפחת מוצרים אחת לכל מימוש IPsec.

תעדו את הזוג שנכשל, את מצב המנהרה לפני ואחרי, ואיזה משני התנאים שיניתם. התיעוד הזה הופך את ההופעה הבאה לבדיקה של חמש דקות.